CVE-2020-7602

node-prompt-here, versões 1.0.0 a 1.0.1

A vulnerabilidade permite a execução de comandos arbitrários. A função runCommand() é chamada pela função getDevices() no arquivo linux/manager.js, que é solicitada pelo processo index.js usando process.env.NM CLI. Essa função constrói o argumento para a função execSync(), que pode ser controlada pelos usuários sem qualquer sanitização.

Para as versões 1.0.0 a 1.0.1 do node-prompt-here, considere desativar a função runCommand() até que um patch esteja disponível para impedir a execução de comandos arbitrários. Restrinja o acesso à função execSync() para minimizar o risco de exploração. Evite usar a variável process.env.NM CLI no arquivo index.js afetado até que a vulnerabilidade seja resolvida.