CVE-2016-10663CWE-311

CVE-2016-10663: fallo en HackerOne wixtoolset node module

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear wixtoolset node module+ Monitorear wixtoolset

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

3Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 2.2%
En resumen

El módulo wixtoolset de Node descarga archivos binarios por HTTP sin cifrar en lugar de HTTPS seguro, permitiendo que atacantes en la red intercepten y reemplacen esos archivos con versiones maliciosas, potencialmente tomando control total de la computadora afectada.

Detalle técnico

wixtoolset descarga recursos binarios sobre HTTP sin cifrado, creando una vulnerabilidad de ataque man-in-the-middle (MITM). Un atacante posicionado en el camino de la red puede interceptar el tráfico HTTP y reemplazar binarios legítimos por maliciosos, logrando ejecución remota de código con los privilegios del proceso Node. No se requiere autenticación ni precondiciones especiales más allá del acceso a la red.

Resumen generado y traducido por IA a partir de la descripción oficial.
wixtoolset is a Node module wrapper around the wixtoolset binaries wixtoolset downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested resources with an attacker controlled copy if the attacker is on the network or positioned in between the user and the remote server.
Productos afectados
HackerOne · wixtoolset node module