En bref
- CVE-2018-3772 est une vulnérabilité CRITIQUE (CVSS 9.8) touchant whereis (whereis project), whereis.
- Probabilité d'exploitation dans les 30 prochains jours (EPSS) : 2.8%, plus élevée que 86.4% des vulnérabilités.
- Correctif : mettre à jour vers 0.4.1 ou plus récent.
| Package | Affected versions | Patched versions |
|---|
| whereis | < 0.4.1
| 0.4.1
|
| whereis npm | < 0.4.1
| 0.4.1
|
Description
Versions of whereis before 0.4.1 are vulnerable to command injection if untrusted user input is passed into whereis.
Recommendation
Update to version 0.4.1 or later.
NVD description
Concatenating unsanitized user input in the `whereis` npm module < 0.4.1 allowed an attacker to execute arbitrary commands. The `whereis` module is deprecated and it is recommended to use the `which` npm module instead.
Running one of these products? Scan your site to see whether it exposes a vulnerable version.
Scan my site free