CVE-2024-25466

Описание для CVE-2024-25466

[Предлагаемое описание]
Уязвимость обхода каталога в React Native Document Picker до версии v.9.1.1 и исправленная в v.9.1.1 позволяет локальному злоумышленнику выполнять произвольный код с помощью специально созданного скрипта в компоненте библиотеки Android.

---

[Тип уязвимости]
Обход каталога

---

[Производитель продукта]
https://github.com/rnmods/react-native-document-picker/

---

[Затронутая кодовая база продукта]
библиотека react-native-document-picker для Android - библиотека react-native-document-picker для Android: версия <9.1.1, исправлено в 9.1.1

---

[Затронутый компонент]
Библиотека Android (точный файл: https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java)

---

[Тип атаки]
Локальная

---

[Воздействие: выполнение кода]
true

---

[Воздействие: повышение привилегий]
true

---

[Векторы атаки]
Чтобы использовать эту уязвимость, пользователь должен выбрать вредоносное сконфигурированное приложение при выборе файла

---

[Подтвердил ли производитель уязвимость?]
true

---

[Ссылка]
http://react-native-document-picker.com
https://github.com/rnmods/react-native-document-picker/
https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java

---

[CVSSv3]
CVSS v3: (AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H): 7.3