CVE-2021-21353

概要

Pugは、高性能なテンプレートエンジンであるnpmパッケージです。バージョン3.0.1より前のpugでは、リモートの攻撃者がpugコンパイラの`pretty`オプションを制御できた場合、例えばリクエストのクエリパラメータなどのユーザー提供オブジェクトをpugテンプレートの入力に展開していた場合、node.jsバックエンド上でリモートコード実行を達成できる可能性がありました。これはバージョン3.0.1で修正されています。このアドバイザリは、「pug」、「pug-code-gen」を含む複数のpugパッケージに適用されます。pug-code-genには、バージョン2.0.3でバックポートされた修正があります。信頼できない入力が`pretty`オプションとしてpugに渡される方法がない場合、例えばユーザー入力を適用する前にテンプレートを事前にコンパイルしている場合、このアドバイザリは悪用可能ではなく、アップグレードする必要はありません。

• PUG-RCE-CVE-2021-21353-POCPoC

  CVE-2021-21353の概念実証エクスプロイト。Pugテンプレートエンジンのバージョン3.0.0以下におけるリモートコード実行の脆弱性です。'pretty'パラメータを介したペイロードインジェクションにより、任意のコマンドを実行することを実証します。