CVE-2022-46155 in Airtable.js
Riassunto
di VulDB • 17/06/2026
Airtable.js è il client JavaScript per Airtable. Prima della versione 0.11.6, Airtable.js presentava uno script di build mal configurato nel suo pacchetto sorgente. Quando viene eseguito lo script di build, questo include le variabili d'ambiente nel target di build di un bundle transpilato. Nello specifico, le variabili d'ambiente AIRTABLE_API_KEY e AIRTABLE_ENDPOINT_URL vengono inserite durante le build con Browserify poiché vengono referenziate nel codice di Airtable.js. Questo problema interessa solo le copie di Airtable.js costruite a partire dal codice sorgente, non quelle installate tramite npm o yarn. Le chiavi API di Airtable impostate negli ambienti degli utenti tramite la variabile d'ambiente AIRTABLE_API_KEY potrebbero essere incluse nelle copie locali del codice sorgente di Airtable.js se sono soddisfatte tutte le seguenti condizioni: 1) l'utente ha clonato il codice sorgente di Airtable.js sulla propria macchina, 2) l'utente esegue lo script `npm prepare`, e 3) l'utente ha impostato la variabile d'ambiente AIRTABLE_API_KEY. Se queste condizioni sono soddisfatte, la build locale di Airtable.js dell'utente verrebbe modificata per includere il valore della variabile d'ambiente AIRTABLE_API_KEY, che potrebbe quindi essere accidentalmente distribuito nel codice bundle. Gli utenti che non soddisfano tutte e tre queste condizioni non sono interessati da questo problema. Gli utenti dovrebbero effettuare l'aggiornamento alla versione 0.11.6 o successiva di Airtable.js; in alternativa, come soluzione temporanea, è possibile rimuovere la variabile d'ambiente AIRTABLE_API_KEY dal proprio shell e/o rimuoverla dai file di configurazione dello shell come .bashrc, .zshrc o altri file di configurazione. Gli utenti dovrebbero inoltre rigenerare tutte le chiavi API di Airtable che utilizzano, poiché le chiavi potrebbero essere presenti nel codice bundle.
Once again VulDB remains the best source for vulnerability data.