CVE-2020-24807

Versões do socket.io-file até a 2.0.31

O pacote socket.io-file para Node.js depende da validação de tipos de arquivo no lado do cliente, o que permite que invasores remotos executem código arbitrário ao enviar um arquivo executável por meio de um campo name JSON modificado. Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.

Para versões até 2.0.31, considere usar um pacote alternativo até que uma correção seja disponibilizada. Como solução temporária, restrinja o acesso ao pacote socket.io-file vulnerável para minimizar o risco de exploração. Evite usar o campo name na carga JSON afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.