GitHub ืืื ืื ืืคืืขืงื ืืขืืึทืืืก ืคืื ืืืื ืืืึทืื ืขืจืึทืืืืืืื ืืื ืื tar ืืื @npmcli/arborist ืคึผืึทืงืึทืืืฉืึทื, ืืืึธืก ืฆืืฉืืขืื ืคืึทื ืืงืฉืึทื ื ืคึฟืึทืจ ืืจืืขืื ืืื ืืึทืจ ืึทืจืงืืืืื ืืื ืงืึทืืงืืึทืืืืืื ื ืื ืืขืคึผืขื ืืขื ืกื ืืืื ืืื Node.js. ืืืึทืื ืขืจืึทืืืืืืื ืืึธืื, ืืืขื ืึทื ืคึผืึทืงืื ื ืึท ืกืคึผืขืฉืื ืืืืืื ื ืึทืจืงืืืื, ืึธืืืืขืจืจืืื ืืขืงืขืก ืึทืจืืืก ืื ืืืึธืจืฆื ืืืขืืืืืึทืืขืจ ืืื ืืืึธืก ืื ืึทื ืคึผืึทืงืื ื ืืื ืืืจืืืขืงืึธืื, ืืื ืืืืึทื ืืื ืงืจืึทื ื ืึทืงืกืขืก ืจืขืื ืืึธืื. ืื ืคืจืืืืขืืขื ืืึทืื ืขืก ืืขืืืขื ืฆื ืึธืจืืึทื ืืืืจื ืื ืืืจืืคืืจืื ื ืคืื ืึทืจืืืืจืึทืจืืฉ ืงืึธื ืืืืฃ ืื ืกืืกืืขื, ืืืฉื, ืืืจื ืึทืืื ื ืงืึทืืึทื ืื ืฆื ~/.ืืึทืฉืจืง ืึธืืขืจ ~/.ืคึผืจืึธืคืื ืืืขื ืึทื ืึธืคึผืขืจืึทืฆืืข ืืื ืืืจืืืขืงืึธืื ืืืจื ืึท ืึทื ืคึผืจืืืืืืึทืืืฉื ืืึทื ืืฆืขืจ, ืึธืืขืจ ืืืจื ืจืืคึผืืืืกืื ื ืกืืกืืขื ืืขืงืขืก ืืืขื ืคืืืกื ืืืง ืืื ืืืึธืจืฆื.
ืื ืืขืคืึทืจ ืคืื ืืืึทืื ืขืจืึทืืืืืืื ืืื ืึทืืจืึทืืืืืืื ืืืจื ืื ืคืึทืงื ืึทื ืื ืคึผืจืึธืืืขืืึทืืืง ืงืึธื ืืื ืืขื ืืฆื ืืื ืื npm ืคึผืขืงื ืคืึทืจืืืึทืืืขืจ ืืืขื ืคึผืขืจืคืึธืจืืื ื ืึทืคึผืขืจืืืฉืึทื ื ืืื npm ืคึผืึทืงืึทืืืฉืึทื, ืืืึธืก ืืืื ืขืก ืืขืืืขื ืฆื ืึธืจืืึทื ืืืืจื ืึท ืืึทืคืึทืื ืืืืฃ ืืืืขืจื ืืืจื ืฉืืขืื ืึท ืกืคึผืขืฆืืขื ืืืืืื ื npm ืคึผืขืงื ืืื ืื ืจืืคึผืึทืืึทืืึธืจื, ืื ืคึผืจืึทืกืขืกืื ื. ืคืื ืืืึธืก ืืืขื ืืืกืคืืจื ืื ืึทืืึทืงืขืจ ืก ืงืึธื ืืืืฃ ืื ืกืืกืืขื. ืื ืืึทืคืึทืื ืืื ืืขืืืขื ืืคืืื ืืืขื ืืืจ ืื ืกืืึทืืืจื ืคึผืึทืงืึทืืืฉืึทื ืืื ืื "ืืืื ืึธืจืืจื-ืกืงืจืืคึผืก" ืืึธืืข, ืืืึธืก ืืืกืืืืึทืื ืื ืืืจืืคืืจืื ื ืคืื ืื ืืขืืืื-ืืื ืกืงืจืืคึผืก. ืืื ืืึทื ืฅ, npm ืึทืคืขืงืฅ ืคืืจ ืืืึทืื ืขืจืึทืืืืืืื (CVE-2021-32804, CVE-2021-37713, CVE-2021-39134 ืืื CVE-2021-39135) ืคืื ืืืื. ืื ืขืจืฉืืข ืฆืืืื ืคืจืืืืขืืขื ืืืึทื ืขื ืื ืืึทืจ ืคึผืขืงื, ืืื ืื ืจืืขื ืฆืืืื ืืืึทื ืขื ืื @npmcli / ืึทืจืืึธืจืืกื ืคึผืขืงื.
ืื ืืขืจืกื ืืขืคืขืจืืขื ืืืึทืื ืขืจืึทืืืืืื, CVE-2021-32804, ืืื ืืขืคึฟืืจื ืืืจื ืื ืคืึทืงื ืึทื ืืืขื ืงืืืจืื ื ืึทืืกืึธืืื ืคึผืึทืืก ืกืคึผืขืกืืคืืขื ืืื ืึท ืืึทืจ ืึทืจืงืืืื, ืจืืคึผืืืื "/" ืืืชืืืช ืืขื ืขื ืคึผืจืึทืกืขืกื ืคืึทืืฉ - ืืืืื ืืขืจ ืขืจืฉืืขืจ ืืึทืจืึทืงืืขืจ ืืื ืึทืืืขืงืืขื ืืืขื, ืืื ืื ืื ืืื ืืื ืืื ืงืก. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืขืจ ืืจื "/ืืืื/ืืึทื ืืฆืขืจ/.ืืึทืฉืจืง" ืืืขื ืืืื ืงืึธื ืืืขืจืืขื ืฆื "ืืืื/ืืึทื ืืฆืขืจ/.ืืึทืฉืจืง" ืืื ืืขืจ ืืจื "//ืืืื/ืืึทื ืืฆืขืจ/.ืืึทืฉืจืง" ืฆื "/ืืืื/ืืึทื ืืฆืขืจ/.ืืึทืฉืจืง". ืื ืฆืืืืืืข ืืืึทืื ืขืจืึทืืืืืื, CVE-2021-37713, ืืื ืืืืื ืืืืฃ ืื Windows ืคึผืืึทืืคืึธืจืืข ืืื ืืื ืคึฟืึทืจืืื ืื ืืื ืคืึทืืฉ ืจืืื ืืงืื ื ืคืื ืงืึธืจืขืื ืคึผืึทืืก ืืืึธืก ืึทื ืืืึทืืื ืึทื ืึทื ืืืืืืึทืืึทื ืคืึธืจ ืืึทืจืึทืงืืขืจ ("C: some\path") ืืื ืึท ืกืืงืืืึทื ืก ืฆื ืฆืืจืืงืงืืืขื ืฆื ืื ืคืจืืขืจืืืงืข ืืืขืืืืืึทืืขืจ ( "C:../ืคืึธืึธ").
ืืืึทืื ืขืจืึทืืืืืืื CVE-2021-39134 ืืื CVE-2021-39135 ืืขื ืขื ืกืคึผืขืฆืืคืืฉ ืฆื ืื @npmcli / ืึทืจืืึธืจืืกื ืืึธืืืืข. ืืขืจ ืขืจืฉืืขืจ ืคึผืจืึธืืืขื ืืื ืืืืื ืืืืฃ ืกืืกืืขืืขื ืืืึธืก ืืึธื ื ืื ืืืกืืืืื ืื ืคืึทื ืคืื ืืืชืืืช ืืื ืื ืืขืงืข ืกืืกืืขื (macOS ืืื Windows), ืืื ืึทืืึทืื ืืืจ ืฆื ืฉืจืืึทืื ืืขืงืขืก ืฆื ืึท ืึทืจืืืืจืึทืจืืฉ ืืืื ืคืื ืื ืืขืงืข ืกืืกืืขื ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืฆืืืื ืืึทืืืฉืืื "ืคื" ืฆืืืืฉื ืื ืืืคึผืขื ืืึทื ืกืื. : "ืืขืงืข:/ืขืืืขืืข/ืคึผืึทื"' ืืื ' FOO: "ืืขืงืข:ืคืึธืึธ.ืืื"', ืคึผืจืึทืกืขืกืื ื ืคืื ืืืึธืก ืืืขื ืคืืจื ืฆื ืืืกืืขืงื ืื ืืื ืืึทืื ืคืื ืื / ืขืืืขืืข / ืืจื ืืืขืืืืืึทืืขืจ ืืื ืฉืจืืึทืื ืื ืืื ืืึทืื ืคืื foo.tgz ืฆื ืขืก. ืื ืจืืข ืคึผืจืึธืืืขื ืึทืืึทืื ืืขืงืขืก ืฆื ืืืื ืึธืืืืขืจืจืืืึทื ืืืจื ืกืืืืึธืืืฉ ืืื ืง ืืึทื ืืคึผืืึทืืืืฉืึทื.
ืื ืืืึทืื ืขืจืึทืืืืืืื ืืขื ืขื ืจืืืึทืืืื ืืื Node.js ืจืืืืกืื 12.22.6 ืืื 14.17.6, npm CLI 6.14.15 ืืื 7.21.0, ืืื ืืืื ืืึทืจ ืคึผืขืงื ืจืืืืกืื 4.4.19, 5.0.11 ืืื 6.1.10. ื ืึธื ืืืงืืืขื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืคึผืจืึธืืืขื ืืื ืึท ืืืื ืคืื ืื "ืืฉืืง ืืจืืืืืึทืจืฆืืงืืื" ืืื ืืฆืืืืืื, GitHub ืืึทืฆืึธืื ืื ืจืืกืขืจืืฉืขืจื $ 14500 ืืื ืกืงืึทื ื ืื ืืื ืืึทืื ืคืื ืื ืจืืคึผืึทืืึทืืึธืจื, ืืืึธืก ืืื ื ืืฉื ืึทื ืืืขืงื ืคืจืืืื ืฆื ืืืืืจืข ืืืึทืื ืขืจืึทืืืืืืื. ืฆื ืืึทืฉืืฆื ืงืขืื ืื ืืฉืื, GitHub ืืื ืืืื ืคืึทืจืืึธื ืืจืืืกืืขืื NPM ืคึผืึทืงืึทืืืฉืึทื ืืืึธืก ืึทืจืืึทื ื ืขืืขื ืกืืืืึธืืืฉ ืคึฟืึทืจืืื ืืื ืืขื, ืฉืืืขืจ ืคึฟืึทืจืืื ืืื ืืขื ืืื ืึทืืกืึธืืื ืคึผืึทืืก ืฆื ืื ืจืืคึผืึทืืึทืืึธืจื.
ืืงืืจ: opennet.ru