Agipoo

يسمح خلل في حقن أوامر نظام التشغيل للمهاجمين بتنفيذ أوامر عشوائية عن طريق حقن رموز shell الوصفية في مسارات المصدر، أو مسار الوجهة، أو خيار `maxHeap`. يحدث هذا لأن الدالة `child process.exec()` تقوم بتشغيل هذه المدخلات عبر shell باستخدام صلاحيات عملية Node.js. يمكن للمهاجمين تفعيل ذلك من خلال تقديم أسماء ملفات أو خيارات تحتوي على علامات اقتباس مزدوجة، أو فواصل منقوطة، أو `$()` أو علامات backticks.

توجد مشكلة تسمح للمهاجمين عن بُعد غير المصرح لهم بتجاوز المجلد الرئيسي المخصص من خلال إرسال مقاطع نقطية مشفرة بنظام URL. باستخدام تسلسلات `%2e%2e/` التي يتم معالجتها بواسطة `decodeURI()` قبل `path.join()` في دالتي `serveStaticFile()` و `serveDirectoryListing()`، يمكن للمهاجمين قراءة ملفات عشوائية وعرض المجلدات خارج النطاق الرئيسي المحدد.