PT-2022-6761
CVE-2022-48285
·
Publicado
2022-03-30
·
Atualizado
2024-08-01
Descrição por
CVSS 2.0
7.5
AltaMétricasAV:N/AC:L/Au:N/C:P/I:P/A:P
Nome do software vulnerável e versões afetadas
Versões do JSZip anteriores à 3.8.0
Descrição
O problema está relacionado à função
loadAsync no JSZip, que permite a traversal de diretórios por meio de um arquivo ZIP malicioso. Isso pode ser explorado por um invasor remoto para gravar arquivos arbitrários e executar comandos arbitrários usando um arquivo ZIP malicioso especialmente criado.Recomendações
Para versões anteriores à 3.8.0, atualize para a versão 3.8.0 ou posterior para resolver o problema.
Como solução temporária, considere restringir o uso da função
loadAsync até que um patch esteja disponível.Evite usar a função
loadAsync com arquivos ZIP não confiáveis até que o problema seja resolvido.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾