Node.js-CVE-2024-39943

Node.js HFS コマンド実行の脆弱性 CVE-2024-39943 ホワイトハットスクール第3期 – ノ・ジョンミン @JenmrR 概要 Node.jsベースのHFSサーバー環境において、アップロードされたファイルの内容をchildprocess.execSyncで実行する脆弱性が存在する。 攻撃者はファイルアップロード機能を通じてOSコマンドを直接実行でき、サーバー内部のコマンド実行結果を確認したり、システムを制御したりすることができる。 これはCVE-2024-39943に該当する脆弱性であり、コマンドインジェクションRemote Code...

CVE-2024-39943

rejetto HFS aka HTTP File Server 3 before 0.52.10 on Linux, UNIX, and macOS allows OS command execution by remote authenticated users if they have Upload permissions. This occurs because a shell is used to execute df i.e., with execSync instead of spawnSync in childprocess in Node.js...

CVE-2024-39943

rejetto HFS aka HTTP File Server 3 before 0.52.10 on Linux, UNIX, and macOS allows OS command execution by remote authenticated users if they have Upload permissions. This occurs because a shell is used to execute df i.e., with execSync instead of spawnSync in childprocess in Node.js...