a12nserver vulnerable to potential SQL Injections via Knex dependency

中 6.5GHSA-crhg-xgrg-vvcc · 13/01/2023 公開 · 13/01/2023 更新

要点

GHSA-crhg-xgrg-vvcc は @curveball/a12n-server に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
対処：0.23.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
@curveball/a12n-server npm	`≥ 0.20.0, < 0.23.0`	`0.23.0`

概要

Impact

Users of a12nserver that use MySQL might be vulnerable to SQL injection bugs.

If you use a12nserver and MySQL, update as soon as possible. This SQL injection bug might let an attacker obtain OAuth2 Access Tokens for users unrelated to those that permitted OAuth2 clients.

Patches

The knex dependency has been updated to 2.4.0 in a12nserver 0.23.0

Workarounds

No further workarounds

References

参考情報

curveball/a12n-server security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2016-20018 · ADVISORY
knex/knex · WEB
curveball/a12n-server commit f4acd75 · WEB
curveball/a12n-server · PACKAGE
curveball/a12n-server release v0.23.0 · WEB
ghostccamm.com/blog/knex_sqli · WEB

@curveball/a12n-server のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

@curveball/a12n-server

npm

≥ 0.20.0, < 0.23.0

0.23.0

概要

Impact

Users of a12nserver that use MySQL might be vulnerable to SQL injection bugs.

If you use a12nserver and MySQL, update as soon as possible. This SQL injection bug might let an attacker obtain OAuth2 Access Tokens for users unrelated to those that permitted OAuth2 clients.