平台
nodejs
组件
webcrack
修复版本
2.14.1
2.14.1
CVE-2024-43373描述了webcrack模块中的一个任意文件写入漏洞。该漏洞允许攻击者利用unpack bundles和saving功能中的路径遍历序列，在Windows系统上覆盖主机文件，造成严重的安全风险。该漏洞影响Node.js环境下的webcrack，建议尽快升级至2.14.1版本以修复此问题。
该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受影响的系统上写入任意文件，从而可能导致恶意软件的安装、系统配置的篡改，甚至完全控制受影响的系统。攻击者可以通过精心构造的恶意代码，利用路径遍历漏洞覆盖关键系统文件，例如可执行文件或配置文件，从而实现持久化访问或提升权限。由于webcrack通常用于处理用户数据，因此该漏洞还可能导致敏感信息的泄露，例如用户凭据或个人数据。
目前尚未公开发现针对此漏洞的公开利用代码（PoC），但由于漏洞的严重性和易利用性，存在被利用的风险。该漏洞已于2024年8月14日公开披露。建议密切关注安全社区的动态，并及时采取缓解措施。该漏洞的CVSS评分为7.7（高），表明其具有较高的利用概率和潜在影响。
Organizations and developers using the webcrack Node.js package in their applications, particularly those deploying on Windows systems, are at risk. This includes developers integrating webcrack into custom tools or applications, and those relying on webcrack within larger Node.js projects. Shared hosting environments where multiple users share the same server are also at increased risk if one user's application is compromised.
• nodejs / server:
find / -name "webcrack" -type d -print0 | xargs -0 ls -l• nodejs / server:
ps aux | grep webcrack• generic web:
Inspect web server access logs for requests containing suspicious file paths or path traversal sequences (e.g., ../).
• generic web:
Review web application code for any instances where user-supplied input is used to construct file paths without proper sanitization.
disclosure
漏洞利用状态
EPSS
0.21% (43% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级到webcrack 2.14.1或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制unpack bundles和saving功能的使用，严格审查用户输入，并实施文件访问控制策略，以防止攻击者写入敏感文件。此外，可以考虑使用Web应用防火墙（WAF）来检测和阻止利用此漏洞的攻击。监控系统日志，查找异常的文件写入活动，并及时响应。
Actualice la versión de webcrack a la versión 2.14.1 o superior. Esto corrige la vulnerabilidad de escritura arbitraria de archivos. Puede actualizar el paquete utilizando npm o yarn.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-43373描述了webcrack模块中的一个任意文件写入漏洞，攻击者可以利用unpack bundles和saving功能中的路径遍历漏洞，在Windows系统上覆盖主机文件。
如果您正在使用Node.js环境下的webcrack，并且版本低于2.14.1，则可能受到此漏洞的影响。
建议立即升级到webcrack 2.14.1或更高版本。如果无法升级，请参考缓解措施，例如限制功能使用和实施文件访问控制。
目前尚未公开发现公开利用代码，但由于漏洞的严重性和易利用性，存在被利用的风险。
请查阅webcrack官方GitHub仓库或相关安全公告，获取更多信息。