CVE-2021-23352

Versões do madge anteriores à 4.0.1

A vulnerabilidade afeta o pacote madge, permitindo que um invasor especifique um caminho personalizado do Graphviz por meio do parâmetro de opção graphVizPath. Quando as funções .image(), .svg() ou .dot() são chamadas, o caminho especificado é executado pela função childprocess.exec. Isso pode potencialmente levar à execução de comandos arbitrários.

Para versões do madge anteriores à 4.0.1, considere desativar a função childprocess.exec ou restringir o uso do parâmetro de opção graphVizPath até que um patch esteja disponível. Evite usar o parâmetro de opção graphVizPath nos pontos de extremidade da API afetados até que o problema seja resolvido. Atualize para a versão 4.0.1 ou posterior para resolver o problema.