CVE-2024-21534
All versions of the package jsonpath-plus are vulnerable to Remote Code Execution (RCE) due to improper input sanitization. An attacker can execute...
- Опубликовано
- 11 окт. 2024 г.
- Обновлено
- 18 нояб. 2024 г.
- Назначение CNA
- snyk
- Наблюдены доказательства
- 8 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 95,2 %
- Дата модели
- 19 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
All versions of the package jsonpath-plus are vulnerable to Remote Code Execution (RCE) due to improper input sanitization. An attacker can execute arbitrary code on the system by exploiting the unsafe default usage of vm in Node. **Note:** There were several attempts to fix it in versions [10.0.0-10.1.0](https://github.com/JSONPath-Plus/JSONPath/compare/v9.0.0...v10.1.0) but it could still be exploited using [different payloads](https://github.com/JSONPath-Plus/JSONPath/issues/226).
Источники
Эксплойт доказательства концепции для CVE-2024-21534, критический RCE в jsonpath-plus, демонстрирующий произвольное выполнение кода через модуль VM и предоставляющий шаги по смягчению.
Эксплойт доказательства концепции (PoC) для уязвимости JSONPath-plus
- cve-2024-21534Эксплойт
POC - CVE-2024-21534 Jsonpath-plus уязвим к удаленному выполнению кода (RCE) из-за некорректной санитизации входных данных
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.