node-vulnerable

Este repositório é um alvo de demonstração sintética para Endor Labs EXPOSURE.

• O estado atual é deliberadamente explorável. EXPOSURE reportará um veredito explorável contra ele.
• CVEs rastreados:
  • CVE-2018-21268 — injeção de comando do traceroute através do argumento host. Explorável nesta linha de base (sem validação de entrada). Nenhuma correção upstream.
  • CVE-2018-3757 — injeção de comando do pdf-image através do argumento de caminho de arquivo. Não explorável nesta linha de base (a rota /render valida o caminho com regex antes de construir PDFImage). Nenhuma correção upstream.
• Um PR de demonstração aberto pelo EXPOSURE substitui src/main.js por uma variante reforçada que adiciona uma regex rigorosa de nome de host antes de traceroute.trace, fechando a via de controle compensatório — sem atualizar a dependência vulnerável.
• O esforço do cliente para aplicar a correção é um clique (revisão + merge).

Este repositório não é uma aplicação de produção. Ele existe apenas para ancorar a demonstração "clique → PR real abre" do EXPOSURE contra um repositório real do GitHub.