CVE-2021-22567mediumCWE-284

CVE-2021-22567: fallo de gravedad media en Google LLC Dart SDK

Bidirectional Override in Dart SDK

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Dart SDK

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 4.6epss 0.6%
En resumen

El SDK de Dart no maneja adecuadamente caracteres Unicode especiales que invierten la dirección del texto, permitiendo a atacantes ocultar código malicioso en archivos que parecen inofensivos para revisores. Este truco puede engañar las verificaciones de seguridad porque el código aparenta ser seguro cuando se visualiza normalmente.

Detalle técnico

Los caracteres especiales de inversión bidireccional Unicode (CWE-284) en código fuente Dart pueden compilarse en comportamiento ejecutable diferente del que se representa visualmente en editores, permitiendo que un atacante inyecte lógica oculta que elude la revisión de código. La vulnerabilidad requiere acceso al código fuente e inatención del revisor, resultando en ejecución arbitraria de código mediante presentación engañosa de la lógica del programa.

Resumen generado y traducido por IA a partir de la descripción oficial.
Bidirectional Unicode text can be interpreted and compiled differently than how it appears in editors which can be exploited to get nefarious code passed a code review by appearing benign. An attacker could embed a source that is invisible to a code reviewer that modifies the behavior of a program in unexpected ways.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:L
Productos afectados
Google LLC · Dart SDK
CVEs relacionadas — Google LLC Dart SDK

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-0451MEDIUMAuth bypass in Dark SDKEPSS 1.0%CVE-2021-22568HIGHDart - Publishing to third-party package repositories may expose pub.dev credentialsEPSS 0.9%CVE-2021-22540—XSS in Dart SDKEPSS 0.7%