p PatchFirst

CVE-2023-26045

CVE-2023-26045 · NodeBB vulnerable to path traversal and code execution via prototype vulnerability

CVSS 10.0 · Критический · EPSS 1,0% · Есть исправление

Затронуты ли вы?

  • nodebbНет опубликованного исправления
  • nodebb npmОбновитесь до 2.8.7

Как узнать установленную версию:

npm ls nodebb

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания nodebb и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

NodeBB is Node.js based forum software. Starting in version 2.5.0 and prior to version 2.8.7, due to the use of the object destructuring assignment syntax in the user export code path, combined with a path traversal vulnerability, a specially crafted payload could invoke the user export logic to arbitrarily execute javascript files on the local disk. This issue is patched in version 2.8.7. As a workaround, site maintainers can cherry pick the fix into their codebase to patch the exploit.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • nodebb

    Версии
    • >= 2.5.0, < 2.8.7: Затронуто

    Нет опубликованного исправления

  • nodebb npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.5.0, < 2.8.7

    Обновитесь до 2.8.7

Первоисточники

Проверьте свой сервер →