低危 yargs-parser 输入验证错误漏洞

CVE编号

CVE-2020-7608

利用情况

暂无

补丁情况

官方补丁

披露时间

2020-03-17

漏洞描述

yargs-parser是一款选项解析器。 yargs-parser 13.1.2之前版本、14.0.0及之后版本（15.0.1版本已修复）和16.0.0及之后版本（18.1.1版本已修复）中存在安全漏洞。攻击者可借助‘__proto__’payload利用该漏洞添加或修改Object.prototype属性。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：https://github.com/yargs/yargs-parser

参考链接
https://snyk.io/vuln/SNYK-JS-YARGSPARSER-560381

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	yargs	yargs-parser	*		Up to (excluding) 13.1.2
	运行在以下环境
	应用	yargs	yargs-parser	*	From (including) 14.0.0	Up to (excluding) 15.0.1
	运行在以下环境
	应用	yargs	yargs-parser	*	From (including) 16.0.0	Up to (excluding) 18.1.1
	运行在以下环境
	系统	anolis_os_8	nodejs-devel	*		Up to (excluding) 12.21.0-1
	运行在以下环境
	系统	centos_8	nodejs-docs	*		Up to (excluding) 1.18.3-1.module+el8+2632+6c5111ed
	运行在以下环境
	系统	debian_10	node-yargs-parser	*		Up to (excluding) 11.1.1-1+deb10u1
	运行在以下环境
	系统	debian_11	node-yargs-parser	*		Up to (excluding) 18.1.1-1
	运行在以下环境
	系统	debian_12	node-yargs-parser	*		Up to (excluding) 18.1.1-1
	运行在以下环境
	系统	debian_9	node-yargs-parser	*		Up to (including) 4.1.0-1
	运行在以下环境
	系统	debian_sid	node-yargs-parser	*		Up to (excluding) 18.1.1-1
	运行在以下环境
	系统	oracle_8	oraclelinux-release	*		Up to (excluding) 1.18.3-1.module+el8.1.0+5392+4d6b561f
	运行在以下环境
	系统	redhat_8	nodejs-docs	*		Up to (excluding) 1.18.3-1.module+el8+2632+6c5111ed

阿里云评分 2.6

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 普通权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID	漏洞类型
CWE-1321	Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')
CWE-20	输入验证不恰当
CWE-915	动态确定对象属性修改的控制不恰当

Exp相关链接

- avd.aliyun.com