node-serialize पैकेज 0.0.4 (Node.js के लिए) में एक समस्या पाई गई। unserialize() फ़ंक्शन में पारित अविश्वसनीय डेटा का शोषण करके, Immediately Invoked Function Expression (IIFE) के साथ एक...
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
node-serialize पैकेज 0.0.4 (Node.js के लिए) में एक समस्या पाई गई। unserialize() फ़ंक्शन में पारित अविश्वसनीय डेटा का शोषण करके, Immediately Invoked Function Expression (IIFE) के साथ एक JavaScript Object पास करके मनमाना कोड निष्पादन प्राप्त किया जा सकता है।
NodeJs में डिसीरियलाइज़ेशन के लिए रिवर्स शेल शोषण (CVE-2017-5941)
शोषण शीर्षक: Node.JS - 'node-serialize' दूरस्थ कोड निष्पादन (2), संस्करण: 0.0.4, CVE: CVE-2017-5941
# CVE-2017-5941 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट Node.js में रिमोट कोड एक्ज़ीक्यूशन भेद्यता। तैयार किए गए HTTP अनुरोधों के माध्यम से शोषण का प्रदर्शन करता है।
CVE-2017-5941 node-serialize अविश्वसनीय deserialization RCE के लिए proof-of-concept लैब। इसमें POST और cookie-आधारित exploit वेक्टर शामिल हैं, साथ ही अधिकृत परीक्षण के लिए Docker वातावरण भी है।
सुरक्षा प्रशिक्षण के लिए Node.js के असुरक्षित डिसीरियलाइज़ेशन (CVE-2017-5941) का कुकी-आधारित पेलोड इंजेक्शन और रिवर्स शेल शोषण के साथ शैक्षिक डेमो।
OpSecX · linux · 8 फ़र॰ 2017
UndeadLarva · nodejs · 10 फ़र॰ 2021
Beren Kuday GÖRÜN · nodejs · 18 जून 2021
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।