exceljs-hardened before 5.0.0 contains a path traversal vulnerability in the Workbook.addImage()...

概要

exceljs-hardened 5.0.0未満にパストラバーサルの脆弱性があります。攻撃者はWorkbook.addImage()関数を悪用して任意のファイルパスを指定でき、ノードプロセスがアクセス可能なファイルを読み取ることができます。

❓ 何が問題か

exceljs-hardenedのWorkbook.addImage()関数にはパストラバーサルの脆弱性があります。

📍 影響範囲

exceljs-hardenedバージョン5.0.0未満

🔥 重要度

攻撃者が任意のファイルを読み取れる可能性があるため、システムの情報漏洩リスクが高まります。

🔧 修正方法

バージョン5.0.0にアップデートすることで、この脆弱性を修正できます。

🛡️ 暫定回避

一時的にファイルパスのバリデーションを自前で実装することが推奨されます。

🔍 検知方法

コードベースでWorkbook.addImage()関数の使用箇所を調査し、バリデーションが適用されているか確認します。

言語

JavaScript

攻撃タイプ

パストラバーサル

CWE

Cwe 73

CWE-73