p PatchFirst

CVE-2024-49770

CVE-2024-49770 · oak's path traversal allows transfer of hidden files within the served root directory

CVSS 7.7 · Высокий · EPSS 0,7%

Затронуты ли вы?

  • oakНет опубликованного исправления
  • @oakserver/oak npmНет опубликованного исправления

Как узнать установленную версию:

npm ls @oakserver/oak

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания oak и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

`oak` is a middleware framework for Deno's native HTTP server, Deno Deploy, Node.js 16.5 and later, Cloudflare Workers and Bun. By default `oak` does not allow transferring of hidden files with `Context.send` API. However, prior to version 17.1.3, this can be bypassed by encoding `/` as its URL encoded form `%2F`. For an attacker this has potential to read sensitive user data or to gain access to server secrets. Version 17.1.3 fixes the issue.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • oak

    Версии
    • < 17.1.3: Затронуто

    Нет опубликованного исправления

  • @oakserver/oak npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 14.1.0

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →