Vulnerabilidad en el módulo americanFlag en package colors (CVE-2021-23567)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/01/2022

Última modificación:

21/01/2022

Descripción

package colors versiones posteriores a 1.4.0, son vulnerables a una denegación de servicio (DoS) que es introducida mediante un bucle infinito en el módulo americanFlag. Desafortunadamente, esto parece haber sido un intento intencionado por parte de un mantenedor de colors para hacer el paquete inusable, los controles de otros mantenedores sobre este paquete parecen haber sido revocados en un intento de evitar que arreglen el problema. Código vulnerable js for (let i = 666; i &lt; Infinity; i++;) { Remediación alternativa sugerida * Fijar la dependencia a versión 1.4.0

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico