Basic-ftp — это FTP-клиент для Node.js. До версии 5.2.1 Basic-ftp допускал внедрение FTP-команд через последовательности CRLF (\r\n) в параметры пути к файлу, передаваемые в высокоуровневые API-интерфейсы пути, такие как cd(), Remove(), rename(), uploadFrom(), downloadTo(), list() и RemoveDir(). Помощник библиотеки protectedWhitespace() обрабатывает только начальные пробелы и возвращает остальные пути без изменений, а FtpContext.send() записывает полученную командную строку непосредственно в управляющий сокет с добавлением \r\n.
Это позволяет контролируемым злоумышленником строкам пути разделить одну предназначенную FTP-команду на несколько команд. Эта уязвимость исправлена в версии 5.2.1.
Показать оригинальное описание (EN)
basic-ftp is an FTP client for Node.js. Prior to 5.2.1, basic-ftp allows FTP command injection via CRLF sequences (\r\n) in file path parameters passed to high-level path APIs such as cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), and removeDir(). The library's protectWhitespace() helper only handles leading spaces and returns other paths unchanged, while FtpContext.send() writes the resulting command string directly to the control socket with \r\n appended. This lets attacker-controlled path strings split one intended FTP command into multiple commands. This vulnerability is fixed in 5.2.1.
Характеристики атаки
Последствия
Строка CVSS v3.1