codecov NPM module allows remote attackers to execute arbitrary commands

高 8.8CVE-2020-7597 · GHSA-5q88-cjfq-g2mh · SNYK-JS-CODECOV-548879 · 17/02/2020 公開 · 17/06/2026 更新

要点

CVE-2020-7597 は codecov (codecov), codecov に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.9%（全脆弱性の 87.1% より高い）。
対処：3.6.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
codecov codecov	`< 3.6.5`	`3.6.5`
codecov npm	`< 3.6.5`	`3.6.5`

概要

codecov-node npm module before 3.6.5 allows remote attackers to execute arbitrary commands.The value provided as part of the gcov-root argument is executed by the exec function within lib/codecov.js. This vulnerability exists due to an incomplete fix of CVE-2020-7596.

NVD の説明