CVE-2021-21353

Riepilogo

Pug è un pacchetto npm che costituisce un motore di template ad alte prestazioni. In pug, prima della versione 3.0.1, se un attaccante remoto fosse stato in grado di controllare l'opzione `pretty` del compilatore pug, ad esempio se si diffonde un oggetto fornito dall'utente come i parametri di query di una richiesta negli input del template pug, sarebbe stato possibile ottenere l'esecuzione remota di codice sul backend node.js. Questo è stato corretto nella versione 3.0.1. Questa advisory si applica a più pacchetti pug, tra cui "pug" e "pug-code-gen". pug-code-gen ha una correzione backportata nella versione 2.0.3. Questa advisory non è sfruttabile se non esiste alcun modo per passare input non attendibili a pug come opzione `pretty`, ad esempio se si compilano i template in anticipo prima di applicare l'input dell'utente, non è necessario eseguire l'aggiornamento.

• PUG-RCE-CVE-2021-21353-POCPoC

  Exploit proof-of-concept per CVE-2021-21353, una vulnerabilità di esecuzione remota di codice nel motore di template Pug versioni <=3.0.0. Dimostra l'iniezione di payload tramite il parametro 'pretty' per eseguire comandi arbitrari.