CVE-2024-25466

CVE-2024-25466 的描述

[建议描述]
React Native Document Picker 在 v.9.1.1 之前存在目录遍历漏洞，并在 v.9.1.1 中修复，允许本地攻击者通过精心设计的脚本对 Android 库组件执行任意代码。

---

[漏洞类型]
目录遍历

---

[产品供应商]
https://github.com/rnmods/react-native-document-picker/

---

[受影响产品代码库]
react-native-document-picker android 库 - 适用于 Android 的 react-native-document-picker 库：<9.1.1 版本，已在 9.1.1 中修复

---

[受影响组件]
Android 库（具体文件：https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java）

---

[攻击类型]
本地

---

[影响代码执行]
是

---

[影响权限提升]
是

---

[攻击向量]
要利用此漏洞，用户必须在选取文件时选择经过恶意配置的应用程序

---

[供应商是否已确认或认可该漏洞？]
是

---

[参考]
http://react-native-document-picker.com
https://github.com/rnmods/react-native-document-picker/
https://github.com/rnmods/react-native-document-picker/blob/0be5a70c3b456e35c2454aaf4dc8c2d40eb2ab47/android/src/main/java/com/reactnativedocumentpicker/RNDocumentPickerModule.java

---

[CVSSv3]
CVSS v3: (AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:H): 7.3