Locutus добавляет в JavaScript стандартные библиотеки других языков программирования в образовательных целях. До версии 3.0.0 в проекте locutus был обнаружен недостаток удаленного выполнения кода (RCE), в частности, в реализации функции call_user_func_array. Уязвимость позволяет злоумышленнику внедрить произвольный код JavaScript в среду выполнения приложения.
Эта проблема связана с небезопасной реализацией функции call_user_func_array (и ее оболочки call_user_func), которая не может должным образом проверить все компоненты массива обратного вызова перед передачей их в eval(). Эта проблема исправлена в версии 3.0.0.
Показать оригинальное описание (EN)
Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to version 3.0.0, a remote code execution (RCE) flaw was discovered in the locutus project, specifically within the call_user_func_array function implementation. The vulnerability allows an attacker to inject arbitrary JavaScript code into the application's runtime environment. This issue stems from an insecure implementation of the call_user_func_array function (and its wrapper call_user_func), which fails to properly validate all components of a callback array before passing them to eval(). This issue has been patched in version 3.0.0.
Характеристики атаки
Последствия
Строка CVSS v3.1