CVE-2022-29078

ejs versão 3.1.6

O problema está relacionado ao pacote ejs para Node.js, que permite a injeção de modelos no lado do servidor em settings[view options][outputFunctionName]. Isso pode ser interpretado como uma opção interna e sobrescreve a opção outputFunctionName com um comando arbitrário do sistema operacional, que é executado durante a compilação do modelo. A vulnerabilidade pode ser explorada por um invasor remoto para executar comandos arbitrários.

Para a versão 3.1.6 do ejs, considere atualizar para uma versão mais recente que contenha uma correção para este problema. Como solução temporária, restrinja o acesso à opção outputFunctionName em settings[view options] para minimizar o risco de exploração. Evite usar a opção outputFunctionName na compilação do modelo afetado até que o problema seja resolvido.