CVE-2023-22491 in gatsby-transformer-remark
Сводка
по VulDB • 02.06.2026
Gatsby — это бесплатная и открытая платформа на базе React, которая помогает разработчикам создавать веб-сайты и приложения. Плагин gatsby-transformer-remark до версий 5.25.1 и 6.3.2 передает входные данные в пакет npm `gray-matter`, который уязвим к инъекции JavaScript при конфигурации по умолчанию, если входные данные не очищены (sanitized). Уязвимость присутствует в gatsby-transformer-remark при передаче данных в режиме запроса (запрос узлов MarkdownRemark через GraphQL). Внедренный JavaScript выполняется в контексте сервера сборки. Для эксплуатации этой уязвимости недоверенные или необработанные входные данные должны быть получены из источника или добавлены в файл, обрабатываемый gatsby-transformer-remark. Патч был введен в `[email protected]` и `[email protected]`, который смягчает проблему путем отключения движка JavaScript Frontmatter `gray-matter`. В качестве временного решения, если необходимо использовать более старую версию `gatsby-transformer-remark`, входные данные, передаваемые в плагин, должны быть очищены перед обработкой. Рекомендуется обновить проекты до последней основной ветки выпуска для всех плагинов Gatsby, чтобы своевременно получать последние обновления безопасности и исправления ошибок.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.