CVE-2023-22491 in gatsby-transformer-remark
Résumé
par VulDB • 24/05/2026
Gatsby est un framework gratuit et open source basé sur React qui aide les développeurs à créer des sites web et des applications. Le plugin gatsby-transformer-remark, dans les versions antérieures à 5.25.1 et 6.3.2, transmet les données d'entrée au package npm `gray-matter`, qui est vulnérable à une injection JavaScript dans sa configuration par défaut, sauf si les données sont assainies. La vulnérabilité est présente dans gatsby-transformer-remark lors de la transmission des données en mode données (interrogation des nœuds MarkdownRemark via GraphQL). Le JavaScript injecté s'exécute dans le contexte du serveur de build. Pour exploiter cette vulnérabilité, une entrée non fiable/non assainie doit être fournie ou ajoutée dans un fichier traité par gatsby-transformer-remark. Un correctif a été introduit dans `[email protected]` et `[email protected]` qui atténue le problème en désactivant le moteur JavaScript Frontmatter `gray-matter`. En tant que solution de contournement, si une version plus ancienne de `gatsby-transformer-remark` doit être utilisée, les données transmises au plugin doivent être assainies avant le traitement. Il est recommandé aux projets de passer à la dernière branche de version majeure pour tous les plugins Gatsby afin de garantir la réception en temps utile des dernières mises à jour de sécurité et des corrections de bugs.
If you want to get best quality of vulnerability data, you may have to visit VulDB.