Server-Side Request Forgery in @uppy/companion

NGHIÊM TRỌNG 9.8CVE-2020-8135 · GHSA-mm7r-265w-jv6f · Công bố 20/03/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-8135 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng uppy (uppy), @uppy/companion.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.3%, cao hơn 71.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.9.3 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
uppy uppy	`< 1.9.3`	`1.9.3`
@uppy/companion npm	`< 1.9.3`	`1.9.3`

Mô tả

Versions of @uppy/companion prior to 1.9.3 are vulnerable to Server-Side Request Forgery (SSRF). The get route passes the user-controlled variable req.body.url to a GET request without sanitizing the value. This allows attackers to inject arbitrary URLs and make GET requests on behalf of the server.

Recommendation

Upgrade to version 1.9.3 or later.

Mô tả của NVD

The uppy npm package < 1.9.3 is vulnerable to a Server-Side Request Forgery (SSRF) vulnerability, which allows an attacker to scan local or external network or otherwise interact with internal systems.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2020-8135 · ADVISORY
hackerone.com/reports/786956 · WEB
npmjs.com/advisories/1501 · WEB

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí