CVE-2022-23631: RCE in superjson

Deze kwetsbaarheid is kritiek omdat het de mogelijkheid biedt om willekeurige code uit te voeren op elke server die superjson gebruikt voor inputverwerking, inclusief Blitz.js servers. Aanvallers kunnen volledige controle over de server verkrijgen, waardoor ze data kunnen stelen en manipuleren of verdere systemen kunnen aanvallen. De enige vereiste is dat de server ten minste één endpoint implementeert die superjson gebruikt tijdens de verwerking van verzoeken. In het geval van Blitz.js, zou dit ten minste één RPC-oproep zijn. Dit betekent dat een succesvolle exploitatie kan leiden tot een compromittering van de volledige serveromgeving en de data die daarop is opgeslagen.

Applications built with Blitz.js that utilize superjson for data parsing are particularly at risk. Any Node.js application relying on superjson for processing external data, especially in API endpoints or RPC calls, is also vulnerable. Shared hosting environments where multiple applications share the same server instance are at increased risk due to the potential for cross-application exploitation.

• nodejs / server:

  npm list superjson

This command will list installed versions of superjson. Check if the version is less than 1.8.1. • nodejs / server:

  find / -name "superjson.js" -o -name "superjson.min.js" -print

Locate superjson files on the system to identify potential vulnerable deployments. • nodejs / server:

  grep -r 'superjson.parse' /path/to/your/app

Search for instances of superjson.parse within your application code, as this is a key function used in vulnerable scenarios.

1. 2022-02-09Disclosure

   disclosure

1. Gereserveerd2022-01-19
2. Gepubliceerd2022-02-09
3. Gewijzigd2026-02-04
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar de gepatchte versies: superjson 1.8.1 en Blitz.js 0.45.3. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een Web Application Firewall (WAF) of proxy om verdachte input te filteren en te blokkeren. Controleer de superjson input op onverwachte of kwaadaardige data. Implementeer strenge inputvalidatie op alle endpoints die superjson gebruiken. Na de upgrade, verifieer de fix door te proberen een payload te injecteren via een superjson inputveld en te controleren of de code niet wordt uitgevoerd.