CVE-2024-33883

Versões do ejs anteriores à 3.1.10

O problema está relacionado à falta de certas proteções contra poluição no pacote ejs, o que pode ser explorado para executar código arbitrário por meio da injeção de código JavaScript especialmente criado. Isso pode ser feito por um invasor remoto através da saída do mecanismo de modelos. O número estimado de dispositivos potencialmente afetados não foi especificado.

Para versões anteriores à 3.1.10, atualize o pacote ejs para a versão 3.1.10 ou posterior para mitigar o problema. Como solução temporária, considere restringir o uso do mecanismo de modelos ejs até que um patch seja aplicado. Evite usar o pacote ejs para renderizar entradas não confiáveis até que o problema seja resolvido.