Recorrido de ruta en yuda-lyu/w-zip

La vulnerabilidad de Path Traversal en w-zip permite a un atacante, mediante la manipulación de parámetros de entrada, acceder a archivos arbitrarios en el sistema de archivos del servidor. Esto puede incluir archivos de configuración, claves privadas, contraseñas u otros datos confidenciales. El impacto potencial es significativo, ya que un atacante podría obtener acceso no autorizado a información sensible o incluso ejecutar código malicioso en el servidor. Un ataque exitoso podría resultar en la exposición de datos confidenciales, la toma de control del servidor o la interrupción del servicio. La gravedad de la vulnerabilidad se agrava por la amplia adopción de Node.js y la posible presencia de w-zip en aplicaciones críticas.

Applications and services that rely on the w-zip Node.js package for ZIP archive manipulation are at risk. This includes web applications, backend services, and any automated processes that handle ZIP files. Projects using older versions of Node.js or those with complex dependency trees are particularly vulnerable, as they may not be aware of the dependency on w-zip.

• nodejs / supply-chain:

  npm list w-zip

If the output shows a version less than 1.0.12, the system is vulnerable. • nodejs / supply-chain:

npm audit w-zip

This command will identify vulnerable dependencies and suggest remediation steps. • generic web: Inspect your application's code for any instances where the w-zip package is used to process user-supplied file paths. Look for any lack of validation or sanitization of these paths.

1. 2022-02-01Disclosure

   disclosure

2. 2022-02-03PoC

   poc

1. Reservado2022-01-28
2. Publicada2022-02-01
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2022-0401 es actualizar la biblioteca w-zip a la versión 1.0.12 o superior. Si la actualización no es inmediatamente posible debido a problemas de compatibilidad, considere implementar medidas de seguridad adicionales, como restringir el acceso a los archivos sensibles mediante permisos de archivo adecuados y utilizar un Web Application Firewall (WAF) para filtrar solicitudes maliciosas. Además, revise el código de su aplicación para identificar y corregir cualquier otra instancia de manipulación de rutas de archivo que pueda ser vulnerable a ataques de Path Traversal. Después de la actualización, verifique la integridad del sistema de archivos y los permisos de los archivos para confirmar que la vulnerabilidad ha sido resuelta.