← volver
CVE-2019-16776highCWE-22

Unauthorized File Access in npm CLI before before version 6.13.3

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.7epss 3.4%
probabilidad de explotación
3.4%top 12% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

npm en versiones anteriores a 6.13.3 permite que paquetes maliciosos escriban archivos en cualquier lugar de tu sistema durante la instalación, no solo en la carpeta del proyecto. Un atacante puede crear un paquete que modifica o accede a tus archivos personales cuando lo instalas.

Detalle técnico

El CLI de npm no valida adecuadamente el campo bin en package.json, permitiendo path traversal (CWE-22) que elude el límite del directorio node_modules. Un paquete malicioso puede escribir archivos arbitrarios en el sistema de archivos durante la instalación; esta vulnerabilidad persiste incluso con la flag --ignore-scripts debido a vectores alternativos como scripts de instalación.

Resumen generado y traducido por IA a partir de la descripción oficial.
Versions of the npm CLI prior to 6.13.3 are vulnerable to an Arbitrary File Write. It fails to prevent access to folders outside of the intended node_modules folder through the bin field. A properly constructed entry in the package.json bin field would allow a package publisher to modify and/or gain access to arbitrary files on a user's system when the package is installed. This behavior is still possible through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Productos afectados
npm · cli
Referencias
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00027.htmlhttps://access.redhat.com/errata/RHEA-2020:0330https://access.redhat.com/errata/RHSA-2020:0573https://access.redhat.com/errata/RHSA-2020:0579https://access.redhat.com/errata/RHSA-2020:0597https://access.redhat.com/errata/RHSA-2020:0602https://blog.npmjs.org/post/189618601100/binary-planting-with-the-npm-clihttps://github.com/npm/cli/security/advisories/GHSA-x8qc-rrcw-4r46https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/https://www.oracle.com/security-alerts/cpujan2020.html