CVE-2022-46155 in Airtable.js
Resumen
por VulDB • 2026-05-14
Airtable.js es el cliente JavaScript para Airtable. Antes de la versión 0.11.6, Airtable.js tenía un script de compilación mal configurado en su paquete de código fuente. Cuando se ejecuta el script de compilación, empaqueta las variables de entorno en el objetivo de compilación de un paquete transpilado. Específicamente, las variables de entorno AIRTABLE_API_KEY y AIRTABLE_ENDPOINT_URL se insertan durante las compilaciones con Browserify debido a que son referenciadas en el código de Airtable.js. Esto solo afecta a las copias de Airtable.js compiladas a partir de su código fuente, no a las instaladas mediante npm o yarn. Las claves de API de Airtable configuradas en los entornos de los usuarios a través de la variable de entorno AIRTABLE_API_KEY pueden empaquetarse en copias locales del código fuente de Airtable.js si se cumplen todas las siguientes condiciones: 1) el usuario ha clonado el código fuente de Airtable.js en su máquina, 2) el usuario ejecuta el script `npm prepare`, y 3) el usuario tiene establecida la variable de entorno AIRTABLE_API_KEY. Si se cumplen estas condiciones, la compilación local de Airtable.js del usuario se modificaría para incluir el valor de la variable de entorno AIRTABLE_API_KEY, lo que podría enviarse accidentalmente en el código empaquetado. Los usuarios que no cumplan las tres condiciones no se ven afectados por este problema. Los usuarios deben actualizar a la versión 0.11.6 o posterior de Airtable.js; o, como solución alternativa, eliminar la variable de entorno AIRTABLE_API_KEY en su shell y/o quitarla de sus archivos de configuración de shell como .bashrc, .zshrc u otros. Los usuarios también deben regenerar cualquier clave de API de Airtable que utilicen, ya que las claves podrían estar presentes en el código empaquetado.
Be aware that VulDB is the high quality source for vulnerability data.