CVE-2022-23631: RCE in superjson

यह भेद्यता अत्यंत गंभीर है क्योंकि यह हमलावरों को सर्वर पर पूर्ण नियंत्रण प्रदान करती है। हमलावर डेटा चुरा सकते हैं, डेटा में हेरफेर कर सकते हैं, या अन्य प्रणालियों पर हमला कर सकते हैं। भेद्यता का फायदा उठाने के लिए, हमलावर को केवल एक ऐसे एंडपॉइंट को लक्षित करने की आवश्यकता होती है जो अनुरोध प्रसंस्करण के दौरान सुपरजसन का उपयोग करता है। ब्लिट.js के मामले में, यह कम से कम एक RPC कॉल होगा। इस भेद्यता का उपयोग सर्वर को पूरी तरह से समझौता करने और संवेदनशील जानकारी तक पहुंचने के लिए किया जा सकता है। यह भेद्यता लॉग4शेल जैसी शोषण पैटर्न के समान है, जहां एक साधारण अनुरोध सर्वर पर मनमाना कोड निष्पादित कर सकता है।

Applications built with Blitz.js that utilize superjson for data parsing are particularly at risk. Any Node.js application relying on superjson for processing external data, especially in API endpoints or RPC calls, is also vulnerable. Shared hosting environments where multiple applications share the same server instance are at increased risk due to the potential for cross-application exploitation.

• nodejs / server:

  npm list superjson

This command will list installed versions of superjson. Check if the version is less than 1.8.1. • nodejs / server:

  find / -name "superjson.js" -o -name "superjson.min.js" -print

Locate superjson files on the system to identify potential vulnerable deployments. • nodejs / server:

  grep -r 'superjson.parse' /path/to/your/app

Search for instances of superjson.parse within your application code, as this is a key function used in vulnerable scenarios.

1. 2022-02-09Disclosure

   disclosure

1. आरक्षित2022-01-19
2. प्रकाशित2022-02-09
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-04-02

CVE-2022-23631 को कम करने के लिए, सुपरजसन को संस्करण 1.8.1 या बाद के संस्करण में अपग्रेड करना आवश्यक है। ब्लिट.js का उपयोग करने वाले, संस्करण 0.45.3 या बाद के संस्करण में अपग्रेड करें। यदि तत्काल अपग्रेड संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके सुपरजसन द्वारा संसाधित इनपुट को फ़िल्टर करने पर विचार करें। यह इनपुट को मान्य करने और दुर्भावनापूर्ण कोड को निष्पादित करने से रोकने में मदद कर सकता है। इसके अतिरिक्त, सुपरजसन द्वारा उपयोग किए जाने वाले सभी इनपुट को सावधानीपूर्वक मान्य करें और सैनिटाइज करें।