BDU:2022-04347

Уязвимость функции outputFunctionName каркаса веб-приложений ejs для Node. js, позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2022-07-13

Описание

Уязвимость функции outputFunctionName каркаса веб-приложений ejs для Node. js связана с неверной нейтрализацией особых элементов в выходных данных, используемых входящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Затрагиваемое ПО и версии

ejs (до 3.1.7)ОСОН ОСнова Оnyx (до 2.6)

Способ устранения

Обновление программного обеспечения до версии 3.1.7 и выше

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения node-ejs до версии 2.5.7-1+deb10u1

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://eslam.io/posts/ejs-server-side-template-injection-rce/https://github.com/mde/ejs/releases https://github.com/mde/ejs/releases/tag/v3.1.7 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/

Проверьте безопасность своего сайта и почты → Полная проверка домена