CVE-2023-22491 in gatsby-transformer-remark
Tóm tắt
Bởi VulDB • 05/06/2026
Gatsby là một khung công tác mã nguồn mở và miễn phí dựa trên React, giúp các nhà phát triển xây dựng trang web và ứng dụng. Plugin gatsby-transformer-remark trước các phiên bản 5.25.1 và 6.3.2 chuyển đầu vào đến gói npm `gray-matter`, vốn dễ bị tấn công chèn mã JavaScript (JavaScript injection) trong cấu hình mặc định, trừ khi dữ liệu được làm sạch (sanitized). Lỗ hổng này tồn tại trong gatsby-transformer-remark khi truyền đầu vào ở chế độ dữ liệu (truy vấn các node MarkdownRemark qua GraphQL). Mã JavaScript đã bị chèn sẽ thực thi trong ngữ cảnh của máy chủ xây dựng (build server). Để khai thác lỗ hổng này, cần phải có nguồn gốc hoặc được thêm vào một tệp tin do gatsby-transformer-remark xử lý từ đầu vào không đáng tin cậy/không được làm sạch. Một bản vá đã được giới thiệu trong `[email protected]` và `[email protected]`, giúp giảm thiểu vấn đề bằng cách vô hiệu hóa công cụ Frontmatter JavaScript `gray-matter`. Như một giải pháp tạm thời, nếu bắt buộc phải sử dụng phiên bản cũ hơn của `gatsby-transformer-remark`, đầu vào truyền vào plugin cần được làm sạch trước khi xử lý. Các dự án nên nâng cấp lên nhánh phát hành chính mới nhất cho tất cả các plugin Gatsby để đảm bảo nhận được các cập nhật bảo mật và sửa lỗi phần mềm mới nhất một cách kịp thời.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.