Arbitrary Code Execution in eslint-utils

緊急 9.8CVE-2019-15657 · GHSA-3gx7-xhv7-5mx3 · 26/08/2019 公開 · 17/06/2026 更新

要点

CVE-2019-15657 は eslint-utils (eslint-utils project), eslint-utils に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.2% より高い）。
対処：1.4.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
eslint-utils eslint-utils_project	`< 1.4.1`	`1.4.1`
eslint-utils npm	`≥ 1.2.0, < 1.4.1`	`1.4.1`

概要

Versions of eslint-utils >=1.2.0 or <1.4.1 are vulnerable to Arbitrary Code Execution. The getStaticValue does not properly sanitize user input allowing attackers to supply malicious input that executes arbitrary code during the linting process. The getStringIfConstant and getPropertyName functions are not affected.