CVE编号
CVE-2020-7774利用情况
暂无补丁情况
官方补丁披露时间
2020-11-18漏洞描述
Yargs Y18n是Yargs个人开发者的一个类似I18n的由Js编写的代码库。 y18n 5.0.5之前版本存在安全漏洞，PoC by po6ix: const y18n = require('y18n')(); y18n.setLocale('__proto__'); y18n.updateLocale({polluted: true}); console.log(polluted); // true解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://github.com/yargs/y18n/pull/108
参考链接 |
|
|---|---|
| https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf | |
| https://github.com/yargs/y18n/issues/96 | |
| https://github.com/yargs/y18n/pull/108 | |
| https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1038306 | |
| https://snyk.io/vuln/SNYK-JS-Y18N-1021887 | |
| https://www.oracle.com/security-alerts/cpuApr2021.html |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | y18n_project | y18n | * |
Up to (excluding) 4.0.1 |
|||||
| 运行在以下环境 | |||||||||
| 应用 | y18n_project | y18n | * |
From (including) 5.0.0 |
Up to (excluding) 5.0.5 |
||||
| 运行在以下环境 | |||||||||
| 系统 | alibaba_cloud_linux_2.1903 | nodejs | * |
Up to (excluding) 14.15.4-2.1.al8 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.10 | nodejs | * |
Up to (excluding) 10.24.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.11 | nodejs | * |
Up to (excluding) 12.22.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.12 | nodejs | * |
Up to (excluding) 12.22.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.13 | nodejs | * |
Up to (excluding) 14.16.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.14 | nodejs | * |
Up to (excluding) 14.16.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_3.15 | nodejs | * |
Up to (excluding) 14.16.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | alpine_edge | nodejs | * |
Up to (excluding) 14.16.1-r0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | centos_8 | nodejs | * |
Up to (excluding) 12.19.1-1.module+el8.3.0+8851+b7b41ca0 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_10 | nodejs | * |
Up to (excluding) 3.2.1-2+deb10u1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_11 | nodejs | * |
Up to (excluding) 4.0.0-2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_9 | nodejs | * |
Up to (excluding) 3.2.1-2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | debian_sid | nodejs | * |
Up to (excluding) 4.0.0-2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.2 | nodejs | * |
Up to (excluding) 8.17.0-lp152.3.14.1 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | opensuse_Leap_15.3 | nodejs | * |
Up to (excluding) 8.17.0-10.12.2 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | oracle_8 | nodejs | * |
Up to (excluding) 1.18.3-1.module+el8.1.0+5393+aaf413e3 |
|||||
| 运行在以下环境 | |||||||||
| 系统 | redhat_8 | nodejs | * |
Up to (excluding) 12.19.1-1.module+el8.3.0+8851+b7b41ca0 |
|||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
还没有评论，来说两句吧...