npm 7.x और 8.x से 8.1.3 तक के संस्करणों में npm ci कमांड तब भी इंस्टॉलेशन के साथ आगे बढ़ता है, जब package-lock.json में दी गई डिपेंडेंसी जानकारी package.json से भिन्न होती है। यह व्यवहार दस्तावेज़ीकरण के अनुरूप...
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
npm 7.x और 8.x से 8.1.3 तक के संस्करणों में `npm ci` कमांड तब भी इंस्टॉलेशन के साथ आगे बढ़ता है, जब package-lock.json में दी गई डिपेंडेंसी जानकारी package.json से भिन्न होती है। यह व्यवहार दस्तावेज़ीकरण के अनुरूप नहीं है, और इससे हमलावरों के लिए मैलवेयर इंस्टॉल करना आसान हो जाता है, जिसे package-lock.json में सटीक संस्करण मिलान की आवश्यकता द्वारा रोका जाना था। ध्यान दें: npm टीम का मानना है कि यह कोई भेद्यता नहीं है। इसके लिए किसी को package.json को सोशल इंजीनियरिंग के माध्यम से बदलना होगा, जिसमें package-lock.json से भिन्न डिपेंडेंसी हों। उस उपयोगकर्ता के पास डिपेंडेंसी बदलने के लिए फ़ाइल सिस्टम या राइट एक्सेस होना चाहिए। npm टीम का कहना है कि दुर्भावनापूर्ण अभिनेताओं को सोशल इंजीनियरिंग या फ़ाइल सिस्टम एक्सेस प्राप्त करने से रोकना npm CLI के दायरे से बाहर है।
CVE-2021-43616 का प्रदर्शन: npm `ci` कमांड package-lock.json को अनदेखा कर रहा है, जिससे अनपेक्षित डिपेंडेंसी संस्करण इंस्टॉलेशन और सप्लाई-चेन जोखिम उत्पन्न होता है।
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।