Clamscan vulnerable to command injection
clamscan through 1.2.0 is vulnerable to Command Injection. It is possible to inject arbitrary commands as part of the _is_clamav_binary function located within Index.js. It should be noted that this vulnerability requires a pre-requisite that a folder should be created with the same command that will be chained to execute. This lowers the risk of this issue.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | clamscan | < 1.3.0 | 1.3.0 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2020-7613
- https://github.com/kylefarris/clamscan/pull/45
- https://github.com/kylefarris/clamscan/commit/5f557c970817fe8c578ec3f7ad3bcbcef4cf5538
- https://github.com/kylefarris/clamscan
- https://github.com/kylefarris/clamscan/blob/master/index.js#L34
- https://huntr.dev/bounties/1-npm-clamscan
- https://snyk.io/vuln/SNYK-JS-CLAMSCAN-564113
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-74, CWE-78- Plataforma
- npm
- Paquete
clamscan- Publicada
- 24.05.2022
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-5v25-xr56-phph - CC BY 4.0
Historial de vulnerabilidades: clamscan
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.