node-vulnerable

Este repositorio es un objetivo de demostración sintético para Endor Labs EXPOSURE.

• El estado actual es deliberadamente explotable. EXPOSURE reportará un veredicto de explotable contra él.
• CVEs rastreados:
  • CVE-2018-21268 — inyección de comandos en traceroute a través del argumento host. Explotable en esta línea base (sin validación de entrada). Sin corrección ascendente.
  • CVE-2018-3757 — inyección de comandos en pdf-image a través del argumento de ruta de archivo. No explotable en esta línea base (la ruta /render valida con regex antes de construir PDFImage). Sin corrección ascendente.
• Un PR de demostración abierto por EXPOSURE reemplaza src/main.js por una variante reforzada que agrega una regex estricta de nombre de host antes de traceroute.trace, cerrando la vía de control compensatorio — sin actualizar la dependencia vulnerable.
• El esfuerzo del cliente para aplicar la corrección es un solo clic (revisar + fusionar).

Este repositorio no es una aplicación de producción. Existe únicamente para anclar la demostración "clic → PR real se abre" de EXPOSURE en un repositorio real de GitHub.