PT-2022-25524 · Snyk+1 · Snyk-Go-Plugin+5
CVE-2022-40764
·
Publicado
2022-10-03
·
Atualizado
2023-08-08
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Snyk CLI anteriores à 1.996.0
Versões do snyk-go-plugin anteriores à 1.19.1
Versões do plugin Snyk TeamCity anteriores à 20220930.142957
Descrição
A vulnerabilidade permite a execução arbitrária de comandos, afetando os plug-ins do Snyk IDE e o pacote snyk npm. A exploração pode ocorrer por meio da prática comum de visualizar arquivos não confiáveis no editor do Visual Studio Code. A demonstração original envolveu metacaracteres de shell no campo
vendor.json ignore.Recomendações
Para versões do Snyk CLI anteriores à 1.996.0, atualize para a versão 1.996.0 ou posterior.
Para versões do snyk-go-plugin anteriores à 1.19.1, atualize para a versão 1.19.1 ou posterior.
Para versões do plug-in Snyk TeamCity anteriores à 20220930.142957, atualize para a versão 20220930.142957 ou posterior.
Como solução alternativa temporária, considere restringir o uso do campo
vendor.json ignore até que um patch esteja disponível.Exploit
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Snyk Cli
Snyk Ide Plugins
Snyk Teamcity Plugin
Visual Studio Code
Snyk Npm Package
Snyk-Go-Plugin