Growl avant 1.10.0 vulnérable à l'Injection de Commandes

L'impact de cette vulnérabilité est critique. Un attaquant peut exploiter cette faille pour exécuter des commandes système arbitraires avec les privilèges du processus Node.js. Cela peut conduire à la compromission complète du système, incluant la lecture, la modification ou la suppression de données sensibles, l'installation de logiciels malveillants, ou l'utilisation du système comme point de pivot pour attaquer d'autres systèmes sur le réseau. La capacité d'injection de commandes rend cette vulnérabilité particulièrement dangereuse, car elle offre un contrôle direct sur l'environnement d'exécution.

Applications and systems that rely on the growl Node.js module for notification functionality are at risk. This includes development environments, production servers, and any system where the module is integrated into custom applications. Specifically, systems that process untrusted user input and pass it directly to the growl module are particularly vulnerable.

• nodejs / server:

  npm list growl

If the output shows a version less than 1.10.0, the system is vulnerable. • nodejs / server:

  find / -name "growl*" -type d -print

This command searches for the growl module directory. Check the version within the directory. • nodejs / server:

  npm audit | grep growl

This command checks for known vulnerabilities in the growl module using npm audit.

1. 2017-12-28Discovery

   discovery

2. 2018-06-08Disclosure

   disclosure

3. 2018-06-08Patch

   patch

1. Publiée2018-06-08
2. Modifiée2023-11-08
3. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour la bibliothèque growl vers la version 1.10.0 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé d'examiner attentivement les entrées utilisateur qui sont passées à la fonction concernée et de les valider ou de les échapper correctement. En attendant la mise à jour, une solution temporaire pourrait consister à restreindre les privilèges du processus Node.js pour limiter l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez que la vulnérabilité est corrigée en testant l'application avec des entrées malveillantes.