CVE-2021-43616
O comando npm ci no npm 7.x e 8.x até 8.1.3 prossegue com uma instalação mesmo que as informações de dependência em package-lock.json difiram de...
- Publicado
- 13 de nov. de 2021
- Atualizado
- 4 de ago. de 2024
- Atribuindo CNA
- mitre
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 85,8%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O comando `npm ci` no npm 7.x e 8.x até 8.1.3 prossegue com uma instalação mesmo que as informações de dependência em `package-lock.json` difiram de `package.json`. Esse comportamento é inconsistente com a documentação e facilita que atacantes instalem malware que supostamente deveria ter sido bloqueado por um requisito de correspondência exata de versão em `package-lock.json`. NOTA: A equipe do npm acredita que isso não é uma vulnerabilidade. Seria necessário que alguém engenheirasse socialmente um `package.json` com dependências diferentes de `package-lock.json`. Esse usuário precisaria ter acesso ao sistema de arquivos ou permissão de escrita para alterar as dependências. A equipe do npm afirma que impedir que agentes maliciosos façam engenharia social ou obtenham acesso ao sistema de arquivos está fora do escopo do CLI do npm.
Fontes
Demonstração de CVE-2021-43616: comando npm `ci` ignorando package-lock.json, causando instalação não intencional de versões de dependências e risco na cadeia de suprimentos.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.