Authentication Bypass in console-io

NGHIÊM TRỌNG 9.8CVE-2016-10532 · GHSA-q52j-4q2q-hcj6 · Công bố 31/05/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2016-10532 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng console-io (console-io project), console-io.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.3%, cao hơn 83.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
console-io console-io_project	`≤ 2.2.13`	Chưa có bản vá
console-io npm	`< 2.3.0`	`2.3.0`

Mô tả

Affected versions of the console-io package do not configure the underlying websocket library to require authentication, resulting in an authentication bypass vulnerability. As console-io allows terminal access on the server via a web page, an authentication bypass is essentially remote code execution.

Recommendation

Update to version 2.3.0 or later.

Mô tả của NVD

console-io is a module that allows users to implement a web console in their application. A malicious user could bypass the authentication and execute any command that the user who is running the console-io application 2.2.13 and earlier is able to run. This means that if console-io was running from root, the attacker would have full access to the system. This vulnerability exists because the console-io application does not configure socket.io to require authentication, which allows a malicious user to connect via a websocket to send commands and receive the response.