Insecure template handling in Squirrelly

高 8.8CVE-2021-32819 · GHSA-q8j6-pwqx-pm96 · 14/05/2021 公開 · 17/06/2026 更新

要点

CVE-2021-32819 は squirrelly (squirrelly), squirrelly に影響する深刻度「高」 (CVSS 8.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：58.3%（全脆弱性の 99.1% より高い）。
対処：9.0.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
squirrelly squirrelly	`= 8.0.8`	修正版なし
squirrelly npm	`< 9.0.0`	`9.0.0`

概要

Squirrelly is a template engine implemented in JavaScript that works out of the box with ExpressJS. Squirrelly mixes pure template data with engine configuration options through the Express render API. By overwriting internal configuration options remote code execution may be triggered in downstream applications. Version 9.0.0 has a fix for this issue. For complete details refer to the referenced GHSL-2021-023.

NVD の説明

Squirrelly is a template engine implemented in JavaScript that works out of the box with ExpressJS. Squirrelly mixes pure template data with engine configuration options through the Express render API. By overwriting internal configuration options remote code execution may be triggered in downstream applications. This issue is fixed in version 9.0.0. For complete details refer to the referenced GHSL-2021-023.

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-32819 · ADVISORY
squirrellyjs/squirrelly#254 · WEB
squirrellyjs/squirrelly commit c12418a · WEB
squirrellyjs/squirrelly commit dca7a1e · WEB
squirrellyjs/squirrelly · PACKAGE
securitylab.github.com/advisories/GHSL-2021-023-squirrelly · ADVISORY
securitylab.github.com/advisories/GHSL-2021-023-squirrelly · Exploit

squirrelly のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

squirrelly

= 8.0.8

修正版なし

squirrelly

npm

< 9.0.0

9.0.0

概要

NVD の説明

Squirrelly is a template engine implemented in JavaScript that works out of the box with ExpressJS. Squirrelly mixes pure template data with engine configuration options through the Express render API. By overwriting internal configuration options remote code execution may be triggered in downstream applications. This issue is fixed in version 9.0.0. For complete details refer to the referenced GHSL-2021-023.