CVE-2021-21353

Zusammenfassung

Pug ist ein npm-Paket, das eine Hochleistungs-Template-Engine darstellt. In Pug vor Version 3.0.1 war es einem entfernten Angreifer möglich, Remote-Code-Ausführung auf dem node.js-Backend zu erreichen, wenn er die `pretty`-Option des Pug-Compilers kontrollieren konnte, z. B. wenn ein vom Benutzer bereitgestelltes Objekt wie die Abfrageparameter einer Anfrage in die Pug-Template-Eingaben übernommen wurde. Dies ist in Version 3.0.1 behoben. Diese Empfehlung gilt für mehrere Pug-Pakete, einschließlich „pug“ und „pug-code-gen“. pug-code-gen enthält einen zurückportierten Fix in Version 2.0.3. Diese Empfehlung ist nicht ausnutzbar, wenn es keine Möglichkeit gibt, dass nicht vertrauenswürdige Eingaben als `pretty`-Option an Pug übergeben werden, z. B. wenn Sie Templates im Voraus kompilieren, bevor Sie Benutzereingaben darauf anwenden, müssen Sie kein Upgrade durchführen.

• PUG-RCE-CVE-2021-21353-POCPoC

  Proof-of-concept-Exploit für CVE-2021-21353, eine Schwachstelle zur Remote-Code-Ausführung in Pug Template Engine Versionen <=3.0.0. Demonstriert Payload-Injection über den 'pretty' Parameter, um beliebige Befehle auszuführen.