xmlhttprequest and xmlhttprequest-ssl vulnerable to Arbitrary Code Injection

CAO 8.1CVE-2020-28502 · GHSA-h4j5-c7cj-74xg · Công bố 05/03/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-28502 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng xmlhttprequest (xmlhttprequest project), xmlhttprequest, xmlhttprequest-ssl.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 4.6%, cao hơn 91.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.7.0, 1.6.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
xmlhttprequest xmlhttprequest_project	`< 1.7.0`	`1.7.0`
xmlhttprequest npm	`< 1.7.0`	`1.7.0`
xmlhttprequest-ssl npm	`< 1.6.2`	`1.6.2`

Mô tả

This affects the package xmlhttprequest before 1.7.0; all versions of package xmlhttprequest-ssl. Provided requests are sent synchronously (async=False on xhr.open), malicious user input flowing into xhr.send could result in arbitrary code being injected and run.

Mô tả của NVD

This affects the package xmlhttprequest before 1.7.0; all versions of package xmlhttprequest-ssl. Provided requests are sent synchronously (async=False on xhr.open), malicious user input flowing into xhr.send could result in arbitrary code being injected and run.