レポートプラットフォーム「jsreport」に深刻な脆弱性 - 依存関係に起因

JavaScriptベースのレポートプラットフォーム「jsreport」に深刻な脆弱性が明らかとなった。

「同3.11.2」にコードインジェクションの脆弱性「CVE-2023-2583」が明らかとなったもの。同ソフトウェアが依存する「vm2」の脆弱性「CVE-2023-29017」に起因する脆弱性だという。

サンドボックスを回避される脆弱性で、「vm2 3.9.15」にて修正されたが、「jsreport」では脆弱なバージョンがハードコードされていた。

CVE番号を採番した脆弱性報告サイト「huntr」では、共通脆弱性評価システム「CVSSv3」のベーススコアを最高値である「10」と評価。米国立標準技術研究所（NIST）の脆弱性データベース「NVD」においても、CVSS基本値を「10」としており、いずれも重要度が「クリティカル（Critical）」とレーティングされている。

開発者は、4月に「同3.11.3」をリリースし、パッケージの依存関係を更新。同脆弱性についても修正した。同脆弱性に関しては概念実証（PoC）が公開されている。

（Security NEXT - 2023/05/17 ） ツイート

PR

関連記事

「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性
台車においた患者情報含む書類が所在不明に - 埼玉病院
「ドットマネー」などにサイバー攻撃 - サービスが一時停止
スポーツ教室当選者宛てメールで誤送信 - 取消機能で再発
バス会社サイトにDDoS攻撃 - 閲覧障害が発生
「Langflow」にRCE脆弱性 - フロー共有環境に影響
「Joomla」向け編集ツール「JCE」、脆弱性悪用に注意
「MariaDB」に複数脆弱性 - アップデートで修正
「Firefox」にアップデート - 脆弱性40件を修正
フィッシング報告が23％増 - 約9割が独自ドメイン名を利用