Descripción
Video-stitch antes de la versión 2.0.0-beta.1 contiene una vulnerabilidad de inyección de comandos del sistema operativo que permite a atacantes ejecutar comandos al proporcionar nombres de archivo que se interpolan sin comillas en líneas de comandos de ffmpeg ejecutadas por la shell. Los atacantes que influyan en los nombres de archivo pasados a concat(), cut() o merge() pueden inyectar metacaracteres de shell para ejecutar comandos con los privilegios del proceso de Node.js.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- video-stitch Afectadas: anteriores a 2.0.0-beta.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Parchegithub.com/ArsalanDotMe/VideoStitch/pull/26
- Parchegithub.com/ArsalanDotMe/VideoStitch/commit/ba60353e6c3707e6ff5d89eb6d…
- Referencia en github.comgithub.com/ArsalanDotMe/VideoStitch/blob/f33560852c848fe572a79f45ae0e…
- Referencia en github.comgithub.com/ArsalanDotMe/VideoStitch/blob/f33560852c848fe572a79f45ae0e…
- Referencia en github.comgithub.com/ArsalanDotMe/VideoStitch/tree/v2.0.0-beta.1
- Aviso de vulncheck.comvulncheck.com/advisories/video-stitch-before-2.0.0-beta.1-os-command-…
Ver el texto original en inglés (CVE.org)
Video-stitch before 2.0.0-beta.1 OS Command Injection via concat() and cut()
Video-stitch before 2.0.0-beta.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying file names interpolated unquoted into shell-executed ffmpeg command lines. Attackers who influence file names passed to concat(), cut(), or merge() can inject shell metacharacters to run commands with the Node.js process privileges.