CVE-2022-24441 in snyk
Resumen
por MITRE • 2022-11-30
Los paquetes snyk anteriores a 1.1064.0 son vulnerables a la Inyección de Código al analizar un proyecto. Un atacante que pueda convencer a un usuario de que escanee un proyecto malicioso puede incluir comandos en un archivo de compilación como build.gradle o gradle-wrapper.jar, que se ejecutarán con los privilegios de la aplicación. Esta vulnerabilidad puede desencadenarse al ejecutar la herramienta CLI directamente o al ejecutar un análisis con uno de los complementos IDE que invocan la CLI de Snyk. La explotación exitosa de este problema probablemente requeriría cierto nivel de ingeniería social: obligar a que un proyecto que no es de confianza se descargue y analice a través de la CLI de Snyk o se abra en un IDE donde esté instalado y habilitado un complemento de Snyk IDE. Además, si el IDE tiene una función de confianza, la carpeta de destino debe marcarse como "de confianza". para ser vulnerable. **NOTA:** Este problema es independiente del reportado en [CVE-2022-40764](https://security.snyk.io/vuln/SNYK-JS-SNYK-3037342), y se actualiza a una versión corregida. porque esto también aborda ese problema. Los complementos y versiones de IDE afectados son: - VS Code - Afectado: <=1.8.0, Corregido: 1.9.0 - IntelliJ - Afectado: <=2.4.47, Corregido: 2.4.48 - Visual Studio - Afectado: < ;=1.1.30, Corregido: 1.1.31 - Eclipse - Afectado: <=v20221115.132308, Corregido: Todas las versiones posteriores - Servidor de idiomas - Afectado: <=v20221109.114426, Corregido: Todas las versiones posteriores
Be aware that VulDB is the high quality source for vulnerability data.