CVE-2022-46155 in Airtable.js
Résumé
par VulDB • 23/05/2026
Airtable.js est le client JavaScript pour Airtable. Avant la version 0.11.6, Airtable.js présentait un script de build mal configuré dans son package source. Lors de l'exécution du script de build, les variables d'environnement étaient intégrées dans la cible de build d'un bundle transpilé. Plus précisément, les variables d'environnement AIRTABLE_API_KEY et AIRTABLE_ENDPOINT_URL sont insérées lors des builds Browserify car elles sont référencées dans le code d'Airtable.js. Cela n'affecte que les copies d'Airtable.js construites à partir de son code source, et non celles installées via npm ou yarn. Les clés API Airtable définies dans les environnements des utilisateurs via la variable d'environnement AIRTABLE_API_KEY peuvent être intégrées dans les copies locales du code source d'Airtable.js si toutes les conditions suivantes sont remplies : 1) l'utilisateur a cloné le code source d'Airtable.js sur sa machine, 2) l'utilisateur exécute le script `npm prepare`, et 3) l'utilisateur a défini la variable d'environnement AIRTABLE_API_KEY. Si ces conditions sont remplies, la build locale d'Airtable.js de l'utilisateur serait modifiée pour inclure la valeur de la variable d'environnement AIRTABLE_API_KEY, qui pourrait ensuite être accidentellement incluse dans le code bundle. Les utilisateurs qui ne remplissent pas ces trois conditions ne sont pas impactés par ce problème. Les utilisateurs doivent mettre à niveau vers la version 0.11.6 ou une version ultérieure d'Airtable.js ; ou, en attendant, supprimer la variable d'environnement AIRTABLE_API_KEY dans leur shell et/ou la retirer de leurs fichiers de configuration de shell tels que .bashrc, .zshrc ou autres. Les utilisateurs doivent également régénérer toutes les clés API Airtable qu'ils utilisent, car les clés peuvent être présentes dans le code bundle.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.