PT-2021-23494
CVE-2021-42057
·
Publicado
2021-11-04
·
Atualizado
2022-05-24
Descrição por
CVSS 2.0
9.3
AltaMétricasAV:N/AC:M/Au:N/C:C/I:C/A:C
Nome do software vulnerável e versões afetadas
Obsidian Dataview versões 0.4.12-hotfix1 e anteriores
Descrição
A vulnerabilidade permite a injeção de código
eval, devido à função evalInContext executar entradas do usuário. Isso permite que um invasor crie arquivos Markdown maliciosos que executarão código arbitrário assim que forem abertos.Recomendações
Para as versões 0.4.12-hotfix1 e anteriores, atualize para a versão 0.4.13 ou posterior para mitigar o problema em alguns casos de uso.
Como solução alternativa temporária, considere restringir o uso da função
evalInContext até que um patch mais abrangente esteja disponível.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾