CVE-2019-16776highCWE-22

CVE-2019-16776: falha de alta gravidade em npm cli

Unauthorized File Access in npm CLI before before version 6.13.3

Publicada em · Atualizada em

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.7epss 3.4%
probabilidade de exploração
3.4%top 11% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

O npm antes da versão 6.13.3 permite que pacotes maliciosos escrevam arquivos em qualquer lugar do seu sistema durante a instalação, não apenas na pasta do projeto. Um atacante pode criar um pacote que modifica ou acessa seus arquivos pessoais quando você o instala.

Detalhe técnico

O CLI do npm falha em validar adequadamente o campo bin do package.json, permitindo traversal de caminho (CWE-22) que ignora o limite do diretório node_modules. Um pacote malicioso pode escrever arquivos arbitrários no sistema de arquivos durante a instalação; essa vulnerabilidade persiste mesmo com a flag --ignore-scripts devido a vetores alternativos como scripts de instalação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Versions of the npm CLI prior to 6.13.3 are vulnerable to an Arbitrary File Write. It fails to prevent access to folders outside of the intended node_modules folder through the bin field. A properly constructed entry in the package.json bin field would allow a package publisher to modify and/or gain access to arbitrary files on a user's system when the package is installed. This behavior is still possible through install scripts. This vulnerability bypasses a user using the --ignore-scripts install option.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Produtos afetados
npm · cli
CVEs relacionadas — npm cli

No mesmo produto, das mais perigosas para as menos.

CVE-2019-16775HIGHUnauthorized File Access in npm CLI before before version 6.13.3EPSS 3.3%CVE-2019-16777HIGHArbitrary File Overwrite in npm CLIEPSS 2.1%CVE-2020-15095MEDIUMSensitive information exposure through logs in npm cliEPSS 0.4%CVE-2026-0775HIGHnpm cli Incorrect Permission Assignment Local Privilege Escalation VulnerabilityEPSS 0.3%
Referências
http://lists.opensuse.org/opensuse-security-announce/2020-01/msg00027.htmlhttps://access.redhat.com/errata/RHEA-2020:0330https://access.redhat.com/errata/RHSA-2020:0573https://access.redhat.com/errata/RHSA-2020:0579https://access.redhat.com/errata/RHSA-2020:0597https://access.redhat.com/errata/RHSA-2020:0602https://blog.npmjs.org/post/189618601100/binary-planting-with-the-npm-clihttps://github.com/npm/cli/security/advisories/GHSA-x8qc-rrcw-4r46https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z36UKPO5F3PQ3Q2POMF5LEKXWAH5RUFP/https://www.oracle.com/security-alerts/cpujan2020.html