CVE-2021-21353

Résumé

Pug est un package npm qui est un moteur de templates haute performance. Dans pug avant la version 3.0.1, si un attaquant distant était capable de contrôler l'option `pretty` du compilateur pug, par exemple si vous étendez un objet fourni par l'utilisateur tel que les paramètres de requête d'une requête dans les entrées du template pug, il lui était possible d'obtenir une exécution de code à distance sur le backend node.js. Ce problème est corrigé dans la version 3.0.1. Cet avis s'applique à plusieurs packages pug, notamment « pug », « pug-code-gen ». pug-code-gen dispose d'un correctif rétroporté dans la version 2.0.3. Cet avis n'est pas exploitable s'il n'existe aucun moyen de transmettre une entrée non fiable à pug comme option `pretty`, par exemple si vous compilez les templates à l'avance avant d'appliquer les entrées utilisateur, vous n'avez pas besoin de mettre à niveau.

• PUG-RCE-CVE-2021-21353-POCPoC

  Exploit de preuve de concept pour CVE-2021-21353, une vulnérabilité d'exécution de code à distance dans le moteur de templates Pug versions <=3.0.0. Démontre l'injection de charge utile via le paramètre 'pretty' pour exécuter des commandes arbitraires.