node-vulnerable

このリポジトリは、Endor Labs EXPOSURE 向けの合成デモターゲットです。

• 現在の状態は意図的に悪用可能です。EXPOSURE はこれに対して 悪用可能な判定を報告します。
• 追跡対象の CVE:
  • CVE-2018-21268 — host 引数による traceroute コマンドインジェクション。このベースラインでは悪用可能（入力検証なし）。上流の修正はありません。
  • CVE-2018-3757 — ファイルパス引数による pdf-image コマンドインジェクション。このベースラインでは悪用不可能（/render ルートが PDFImage を構築する前にパスを正規表現で検証するため）。上流の修正はありません。
• EXPOSURE が開くデモ PR は、src/main.js を強化版に置き換えます。この強化版は traceroute.trace の前に厳格なホスト名正規表現を追加し、 補完的制御のレーンを閉じます — 脆弱な依存関係をアップグレードせずに。
• 修正を適用するための顧客の作業はワンクリック（レビュー + マージ）です。

このリポジトリは本番アプリケーションではありません。これは、EXPOSURE の「クリック → 実際の PR が開く」デモを 実際の GitHub リポジトリに紐付けるためにのみ存在します。