Vulnerabilidad en Node.js (CVE-2024-34347)
Severidad:
ALTA
Type:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
08/05/2024
Última modificación:
08/05/2024
Descripción
@hoppscotch/cli es una CLI para ejecutar scripts de prueba de Hoppscotch en entornos de CI. Antes de 0.8.0, el paquete @hoppscotch/js-sandbox proporciona un entorno limitado de Javascript que utiliza el módulo vm de Node.js. Sin embargo, el módulo vm no es seguro para el código Javascript que no es de confianza. Esto se debe a que el código dentro del contexto de la máquina virtual puede romperse si puede obtener cualquier referencia a un objeto creado fuera de la máquina virtual. En el caso de @hoppscotch/js-sandbox, se pasan múltiples referencias a objetos externos al contexto de la máquina virtual para permitir interacciones de scripts de solicitud previa con variables de entorno y más. Pero esto también permite que el script de solicitud previa escape del entorno limitado. Esta vulnerabilidad se solucionó en 0.8.0.
Impacto
Puntuación base 3.x
8.30
Severidad 3.x
ALTA