CVE-2021-21353

Resumen

Pug es un paquete npm que es un motor de plantillas de alto rendimiento. En pug antes de la versión 3.0.1, si un atacante remoto era capaz de controlar la opción `pretty` del compilador de pug, por ejemplo, si extendía un objeto proporcionado por el usuario, como los parámetros de consulta de una solicitud, en las entradas de la plantilla de pug, era posible que lograra la ejecución remota de código en el backend de node.js. Esto se ha corregido en la versión 3.0.1. Este aviso se aplica a varios paquetes de pug, incluyendo "pug", "pug-code-gen". pug-code-gen tiene una corrección con soporte en la versión 2.0.3. Este aviso no es explotable si no hay forma de pasar a pug entradas no confiables como la opción `pretty`, por ejemplo, si compila las plantillas por adelantado antes de aplicarles las entradas del usuario, no necesita actualizar

Fuentes

• PUG-RCE-CVE-2021-21353-POCPoC

  Prueba de concepto de exploit para CVE-2021-21353, una vulnerabilidad de ejecución remota de código en el motor de plantillas Pug versiones <=3.0.0. Demuestra la inyección de payload a través del parámetro 'pretty' para ejecutar comandos arbitrarios.