CVE-2019-16776
WysokieCVSS 7.7Streszczenie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Poprzez pole bin w pliku package.json wydawca pakietu może uzyskać dostęp do folderów poza katalogiem node_modules i modyfikować dowolne pliki w systemie użytkownika podczas instalacji pakietu. Podatność omija opcję instalacji --ignore-scripts.
Ocena ryzyka
Złośliwy pakiet npm może nadpisać lub uzyskać dostęp do dowolnych plików w systemie ofiary podczas instalacji, co może prowadzić do wykonania kodu lub kompromitacji środowiska deweloperskiego.
Rekomendacja
Zaktualizuj npm CLI do wersji 6.13.3 lub nowszej. Instaluj pakiety wyłącznie z zaufanych źródeł i weryfikuj zawartość pola bin w package.json.
Inne podatności w npm CLI
Zobacz wszystkie- CVE-2020-15095Średnie
Wersje npm CLI przed 6.14.6 są podatne na ujawnienie informacji poprzez pliki logów. CLI obsługuje adresy URL w formacie zawierającym dane uwierzytelniające, a wartość hasła nie jest maskowana i jest wypisywana na standardowe wyjście oraz do generowanych plików logów.
- CVE-2019-16777Wysokie
Narzędzie npm CLI w wersjach przed 6.13.4 jest podatne na Arbitrary File Overwrite. Nie zapobiega nadpisaniu istniejących globalnie zainstalowanych binariów przez inne instalacje pakietów, nawet przy użyciu opcji --ignore-scripts.
- CVE-2019-16775Wysokie
Wersje npm CLI przed 6.13.3 są podatne na zapis dowolnych plików. Pakiety mogą tworzyć dowiązania symboliczne do plików poza katalogiem node_modules poprzez pole bin w package.json podczas instalacji, omijając opcję --ignore-scripts.
- CVE-2016-3956Wysokie
Narzędzie CLI w npm przed 2.15.1 i 3.x przed 3.8.3, używane w Node.js 0.10 przed 0.10.44, 0.12 przed 0.12.13, 4 przed 4.4.2 i 5 przed 5.10.0, dołącza tokeny bearer do dowolnych żądań. Pozwala to zdalnym serwerom HTTP na uzyskanie poufnych informacji poprzez odczyt nagłówków Authorization.
- CVE-2026-0775Wysokie
Podatność w npm cli umożliwia lokalnemu atakującemu eskalację uprawnień poprzez nieprawidłowe przypisanie uprawnień do modułów. Aplikacja ładuje moduły z niezabezpieczonej lokalizacji, co pozwala na wykonanie kodu w kontekście docelowego użytkownika.
Oryginalny opis (angielski, źródło NVD)
Versions of the npm CLI prior to 6.13.3 are vulnerable to an Arbitrary File Write. It fails to prevent access to folders outside of the intended node_modules folder through the bin field. A properly constructed entry in the package.json bin field would allow a package publisher to modify and/or gain access to arbitrary files on a user's system when the package is installed. This behavior is still possible through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS