Kurz gesagt
- CVE-2018-3772 ist eine Schwachstelle (KRITISCH (CVSS 9.8)) in whereis (whereis project), whereis.
- Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 2.8%, höher als bei 86.4% aller Schwachstellen.
- Abhilfe: auf 0.4.1 oder neuer aktualisieren.
| Package | Affected versions | Patched versions |
|---|
| whereis | < 0.4.1
| 0.4.1
|
| whereis npm | < 0.4.1
| 0.4.1
|
Description
Versions of whereis before 0.4.1 are vulnerable to command injection if untrusted user input is passed into whereis.
Recommendation
Update to version 0.4.1 or later.
NVD description
Concatenating unsanitized user input in the `whereis` npm module < 0.4.1 allowed an attacker to execute arbitrary commands. The `whereis` module is deprecated and it is recommended to use the `which` npm module instead.
Running one of these products? Scan your site to see whether it exposes a vulnerable version.
Scan my site free