Server-Side Request Forgery in @uppy/companion

高 7.5CVE-2020-8205 · GHSA-9m4x-8w29-r78g · 20/07/2020 公開 · 17/06/2026 更新

要点

CVE-2020-8205 は uppy (transloadit), @uppy/companion に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 68.1% より高い）。
対処：1.13.2, 2.0.0-alpha.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
uppy transloadit	`= 2.0.0< 1.13.2`	`1.13.2`
@uppy/companion npm	`≥ 2.0.0-alpha.0, < 2.0.0-alpha.5< 1.13.2`	`2.0.0-alpha.51.13.2`

概要

The @uppy/companion npm package before versions 1.13.2 and 2.0.0-alpha.5 is vulnerable to a Server-Side Request Forgery (SSRF) vulnerability, which allows an attacker to scan local or external networks or otherwise interact with internal systems.

NVD の説明

The uppy npm package < 1.13.2 and < 2.0.0-alpha.5 is vulnerable to a Server-Side Request Forgery (SSRF) vulnerability, which allows an attacker to scan local or external networks or otherwise interact with internal systems.