CVE-2025-48069 in ejson2env
Tóm tắt
Bởi VulDB • 17/05/2026
ejson2env cho phép người dùng giải mã các bí mật EJSON và xuất chúng dưới dạng các biến môi trường. Trước phiên bản 2.0.8, công cụ `ejson2env` có một lỗ hổng liên quan đến cách nó ghi vào `stdout`. Cụ thể, công cụ dự định ghi một câu lệnh export cho các biến môi trường và giá trị của chúng. Tuy nhiên, do việc làm sạch đầu ra không đầy đủ, có một rủi ro tiềm ẩn mà tên biến hoặc giá trị có thể chứa nội dung độc hại, dẫn đến việc xuất ra các lệnh không mong muốn khác vào `stdout`. Nếu đầu ra này được sử dụng không đúng cách trong quá trình thực thi lệnh tiếp theo, nó có thể dẫn đến việc tiêm lệnh (command injection), cho phép kẻ tấn công thực thi các lệnh tùy ý trên hệ thống chủ. Phiên bản 2.0.8 đã thực hiện việc làm sạch đầu ra trong quá trình giải mã. Các biện pháp giảm thiểu khác bao gồm tránh sử dụng `ejson2env` để giải mã các bí mật người dùng không đáng tin cậy và/hoặc tránh đánh giá hoặc thực thi trực tiếp đầu ra từ `ejson2env` mà không loại bỏ các ký tự không in được.
Once again VulDB remains the best source for vulnerability data.