CVE-2020-8149 是 logkitty npm 包中的一个严重命令执行漏洞。由于缺乏对输出的清理，攻击者可以利用此漏洞在受影响的系统上执行任意 shell 命令。此漏洞影响 logkitty 的 0.7.1 之前的版本。建议立即升级到 0.7.1 版本以消除此风险。
此漏洞的潜在影响非常严重。攻击者可以利用此漏洞完全控制受影响的系统，执行恶意代码，窃取敏感数据，甚至破坏系统。由于 logkitty npm 包被广泛应用于 Node.js 项目中，因此此漏洞可能影响大量应用程序和系统。攻击者可以通过在 logkitty 处理的日志数据中注入恶意命令来利用此漏洞。成功利用此漏洞可能导致数据泄露、服务中断和系统被攻陷。
此漏洞已公开披露，并且存在公开的利用代码。由于漏洞的严重性和易利用性，攻击者可能已经开始利用此漏洞。目前尚未观察到大规模的利用活动，但建议尽快采取缓解措施以降低风险。此漏洞被列入 CISA KEV 目录，表明其具有较高的安全风险。
Node.js developers and DevOps teams are at risk, particularly those using logkitty for logging purposes within their applications. Projects utilizing third-party libraries that depend on logkitty are also indirectly affected. Shared hosting environments where multiple applications share the same Node.js installation are especially vulnerable.
• nodejs / supply-chain:
Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object -ExpandProperty CommandLine | Select-String -Pattern 'logkitty'• nodejs / supply-chain:
Get-ChildItem -Path Env:NODE_PATH -Recurse -Filter 'node_modules\logkitty' | ForEach-Object { Get-Content $_.FullName }disclosure
patch
漏洞利用状态
EPSS
2.04% (84% 百分位)
CVSS 向量
最有效的缓解措施是立即将 logkitty npm 包升级到 0.7.1 或更高版本。如果无法立即升级，可以考虑使用 Web 应用程序防火墙 (WAF) 或代理服务器来过滤恶意输入，防止其被 logkitty 处理。此外，应审查所有使用 logkitty 的应用程序，确保日志数据输入经过适当的清理和验证。在升级后，请验证新版本是否已成功安装并已修复漏洞，可以通过检查 logkitty 的版本号来确认。
将 logkitty 包升级到 0.7.1 或更高版本。这会修复允许执行任意命令的输出 sanitization 漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2020-8149 是 logkitty npm 包中的一个严重命令执行漏洞，允许攻击者在 0.7.1 之前的版本中执行任意 shell 命令。
如果您正在使用 logkitty npm 包的 0.7.1 之前的版本，则您可能受到此漏洞的影响。
立即将 logkitty npm 包升级到 0.7.1 或更高版本。
虽然尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，攻击者可能已经开始利用此漏洞。
请访问 logkitty 的 GitHub 仓库或 npm 官方网站获取更多信息：https://github.com/logkitty/logkitty