Vulnerabilidad en node-qpdf (CVE-2023-26155)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-77 Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)

Fecha de publicación:

14/10/2023

Última modificación:

07/11/2023

Descripción

Todas las versiones del paquete node-qpdf son vulnerables a la inyección de comandos, de modo que el método encrypt() exportado por el paquete no puede sanitizar su entrada de parámetros, que luego fluye hacia una API de ejecución de comandos confidencial. Como resultado, los atacantes pueden inyectar comandos maliciosos una vez que puedan especificar la ruta del archivo pdf de entrada.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto