CVE-2013-4116

Niskie

Opublikowano: 22/04/2014(UTC)Zaktualizowano: 16/06/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

lib/npm.js w Node Packaged Modules (npm) przed wersją 1.3.3 pozwala lokalnym użytkownikom nadpisywać dowolne pliki poprzez atak symlink na plikach tymczasowych o przewidywalnych nazwach tworzonych podczas rozpakowywania archiwów.

Ocena ryzyka

Lokalny użytkownik może nadpisać dowolne pliki z uprawnieniami procesu npm, co może prowadzić do eskalacji uprawnień lub uszkodzenia systemu.

Rekomendacja

Zaktualizuj npm do wersji 1.3.3 lub nowszej.

Inne podatności w npm

CVE-2018-7408Wysokie
W wersji przedpremierowej npm 5.7.0 z 2018-02-21 (oznaczonej jako "next: 5.7.0", automatycznie instalowanej przez polecenie "npm upgrade -g npm" i ogłoszonej na blogu dostawcy bez informacji o statusie przedpremierowym) wykryto problem. Może on pozwolić lokalnym użytkownikom na obejście zamierzonych ograniczeń dostępu do systemu plików, ponieważ właściciele katalogów /etc i /usr są nieoczekiwanie zmieniani — związane z problemem "correctMkdir".

Oryginalny opis (angielski, źródło NVD)

lib/npm.js in Node Packaged Modules (npm) before 1.3.3 allows local users to overwrite arbitrary files via a symlink attack on temporary files with predictable names that are created when unpacking archives.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS