Vulnérabilité de type injection de code dans le package MySql2 de NodeJs

Le package MySql2 de NodeJS est un pilote Javascript permettant aux utilisateurs de se connecter à des bases de données MySql et d’exécuter des requêtes SQL.

Ce package est affecté par une vulnérabilité libellée CVE-2024-21511. Son exploitation permettrait à un attaquant d’injecter et d’exécuter du code arbitraire sur le système cible. Cette faille est due à un filtrage inadéquat du paramètre timezone de la fonction readCodeFor.

Cette vulnérabilité est classée critique avec un score de sévérité de 9.8.

RISQUES DE SÉCURITÉ 

• Compromission du système 
• Accès à des données sensibles

SYSTÈMES AFFECTÉS 

• Toutes les versions du plugin MySql2 antérieures à la version 3.9.7. 

MESURES À PRENDRE

• Mettre à jour le package MySql2 vers la dernière version disponible.  

Source : bjCSIRT