CVE-2022-46155 in Airtable.js
Tóm tắt
Bởi VulDB • 27/05/2026
Airtable.js là thư viện client JavaScript dành cho Airtable. Trước phiên bản 0.11.6, Airtable.js có một kịch bản xây dựng (build script) được cấu hình sai trong gói nguồn của nó. Khi kịch bản xây dựng được thực thi, nó sẽ đóng gói các biến môi trường vào mục tiêu xây dựng của một gói đã được chuyển đổi cú pháp (transpiled bundle). Cụ thể, các biến môi trường AIRTABLE_API_KEY và AIRTABLE_ENDPOINT_URL được chèn vào trong quá trình xây dựng bằng Browserify do chúng được tham chiếu trong mã nguồn của Airtable.js. Vấn đề này chỉ ảnh hưởng đến các bản sao của Airtable.js được xây dựng từ mã nguồn, không ảnh hưởng đến các bản cài đặt thông qua npm hoặc yarn. Các khóa API của Airtable được thiết lập trong môi trường của người dùng thông qua biến môi trường AIRTABLE_API_KEY có thể bị đóng gói vào các bản sao cục bộ của mã nguồn Airtable.js nếu tất cả các điều kiện sau được đáp ứng: 1) người dùng đã sao chép mã nguồn Airtable.js về máy của họ, 2) người dùng chạy kịch bản `npm prepare`, và 3) người dùng đã thiết lập biến môi trường AIRTABLE_API_KEY. Nếu các điều kiện này được đáp ứng, bản xây dựng cục bộ của Airtable.js sẽ bị sửa đổi để bao gồm giá trị của biến môi trường AIRTABLE_API_KEY, sau đó có thể vô tình được phân phối cùng với mã đã đóng gói. Người dùng không đáp ứng đủ cả ba điều kiện trên không bị ảnh hưởng bởi vấn đề này. Người dùng nên nâng cấp lên phiên bản Airtable.js 0.11.6 hoặc cao hơn; hoặc, như một giải pháp tạm thời, hãy xóa biến môi trường AIRTABLE_API_KEY trong shell của họ và/hoặc xóa nó khỏi các tệp cấu hình shell như .bashrc, .zshrc hoặc các tệp cấu hình shell khác. Người dùng cũng nên tạo lại bất kỳ khóa API Airtable nào mà họ đang sử dụng, vì các khóa này có thể đã xuất hiện trong mã đã đóng gói.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.