CVE-2022-43548

Versões do Node.js anteriores à 14.21.1

Versões do Node.js anteriores à 16.18.1

Versões do Node.js anteriores à 18.12.1

Versões do Node.js anteriores à 19.0.1

Existe uma vulnerabilidade de injeção de comando do sistema operacional no Node.js devido a uma verificação insuficiente do IsAllowedHost que pode ser facilmente contornada, permitindo ataques de rebinding. O problema está relacionado ao parâmetro --inspect e a erros na conversão de endereços IP octais. Isso pode permitir que um invasor remoto execute código arbitrário. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível.

Para versões anteriores à 14.21.1, atualize para a versão 14.21.1 ou posterior.

Para versões anteriores à 16.18.1, atualize para a versão 16.18.1 ou posterior.

Para versões anteriores à 18.12.1, atualize para a versão 18.12.1 ou posterior.

Para versões anteriores à 19.0.1, atualize para a versão 19.0.1 ou posterior.

Como solução alternativa temporária, considere desativar o parâmetro --inspect até que um patch esteja disponível. Restrinja o acesso ao recurso --inspect para minimizar o risco de exploração. Evite usar endereços IP octais inválidos no parâmetro --inspect até que o problema seja resolvido.