CVE-2022-46155 in Airtable.js
要約
〜によって VulDB • 2026年05月23日
Airtable.jsはAirtableのJavaScriptクライアントです。バージョン0.11.6より前では、Airtable.jsのソースパッケージにビルドスクリプトの設定ミスがありました。ビルドスクリプトを実行すると、環境変数がトランスパイルされたバンドルのビルドターゲットにバンドルされます。具体的には、Airtable.jsのコード内で参照されているため、Browserifyビルド中にAIRTABLE_API_KEYおよびAIRTABLE_ENDPOINT_URL環境変数が挿入されます。これは、npmやyarnを介してインストールされたものではなく、ソースからビルドされたAirtable.jsのコピーにのみ影響します。AIRTABLE_API_KEY環境変数を通じてユーザーの環境に設定されたAirtable APIキーは、以下のすべての条件が満たされた場合に、Airtable.jsソースコードのローカルコピーにバンドルされる可能性があります。1) ユーザーがAirtable.jsのソースをマシンにクローンしている、2) ユーザーが`npm prepare`スクリプトを実行している、3) ユーザーの環境にAIRTABLE_API_KEY環境変数が設定されている。これらの条件が満たされると、Airtable.jsのローカルビルドが変更され、AIRTABLE_API_KEY環境変数の値が含まれるようになり、その結果、バンドルコードに誤って含まれる可能性があります。これらの3つの条件のすべてを満たさないユーザーは、この問題の影響を受けません。ユーザーはAirtable.jsバージョン0.11.6以降にアップグレードするか、または回避策として、シェルでAIRTABLE_API_KEY環境変数を解除し、.bashrc、.zshrc、またはその他のシェル設定ファイルから削除してください。また、ユーザーは使用しているAirtable APIキーを再生成する必要があります。なぜなら、キーがバンドルコードに含まれている可能性があるからです。
VulDB is the best source for vulnerability data and more expert information about this specific topic.