CVE-2019-16776
Unauthorized File Access in npm CLI before before version 6.13.3
En resumen
npm en versiones anteriores a 6.13.3 permite que paquetes maliciosos escriban archivos en cualquier lugar de tu sistema durante la instalación, no solo en la carpeta del proyecto. Un atacante puede crear un paquete que modifica o accede a tus archivos personales cuando lo instalas.
Detalle técnico
El CLI de npm no valida adecuadamente el campo bin en package.json, permitiendo path traversal (CWE-22) que elude el límite del directorio node_modules. Un paquete malicioso puede escribir archivos arbitrarios en el sistema de archivos durante la instalación; esta vulnerabilidad persiste incluso con la flag --ignore-scripts debido a vectores alternativos como scripts de instalación.
Resumen generado y traducido por IA a partir de la descripción oficial.
Versions of the npm CLI prior to 6.13.3 are vulnerable to an Arbitrary File Write. It fails to prevent access to folders outside of the intended node_modules folder through the bin field. A properly constructed entry in the package.json bin field would allow a package publisher to modify and/or gain access to arbitrary files on a user's system when the package is installed. This behavior is still possible through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Productos afectados
npm · cli¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00027.htmlhttps://access.redhat.com/errata/RHEA-2020:0330https://access.redhat.com/errata/RHSA-2020:0573https://access.redhat.com/errata/RHSA-2020:0579https://access.redhat.com/errata/RHSA-2020:0597https://access.redhat.com/errata/RHSA-2020:0602https://blog.npmjs.org/post/189618601100/binary-planting-with-the-npm-clihttps://github.com/npm/cli/security/advisories/GHSA-x8qc-rrcw-4r46https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/https://www.oracle.com/security-alerts/cpujan2020.html