Średnia

[thi.ng/egf] Potential arbitrary code execution of `#gpg`-tagged property values

Ujawniono: 06.04.2021
Aktualizacja: 11.10.2026 10:22

Impact

Potential for arbitrary code execution in #gpg-tagged property values (only if decrypt: true option is enabled)

Patches

A fix has already been released as v0.4.0

Workarounds

By default, EGF parse functions do NOT attempt to decrypt values (since GPG is only available in non-browser env).

However, if GPG encrypted values are used/required:

Perform a regex search for #gpg-tagged values in the EGF source file/string and check for backtick (`) chars in the encrypted value string
Replace/remove them or skip parsing if present...

References

https://github.com/thi-ng/umbrella/security/advisories/GHSA-rj44-gpjc-29r7#advisory-comment-65261

For more information

If you have any questions or comments about this advisory, please open an issue in the thi.ng/umbrella repo, of which this package is part of.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	@thi.ng/egf	< 0.4.0	0.4.0

Odnośniki

Ocena CVSS 6.4/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Słabość (CWE): CWE-78
Platforma: npm
Paczka: @thi.ng/egf
Ujawniono: 06.04.2021
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-rj44-gpjc-29r7 - CC BY 4.0

Historia podatności: @thi.ng/egf

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację