CVE-2024-23054

RCE w Plone Docker Official Image — brakujący pakiet npm (dependency confusion)

CVSS 9.8v3.1pub. 2024-02-05upd. 2026-07-09

Podatność w Plone Docker Official Image 5.2.13 umożliwia zdalne wykonanie kodu (RCE) na skutek brakującego pakietu w publicznym rejestrze npm. Atakujący może opublikować złośliwy pakiet pod tą samą nazwą i przejąć kontrolę nad środowiskiem.

▸ Pokaż oryginał (EN)

An issue in Plone Docker Official Image 5.2.13 (5221) open-source software that could allow for remote code execution due to a package listed in ++plone++static/components not existing in the public package index (npm).

🤖 Analiza AI

Jak działa

Ścieżka ++plone++static/components odwołuje się do pakietu npm, który nie istnieje w publicznym indeksie pakietów (npm registry). Jest to klasyczny atak typu 'dependency confusion' (CWE-427 — uncontrolled search path element): jeśli zależność nie jest dostępna w prywatnym lub wewnętrznym źródle, menedżer pakietów może sięgnąć po pakiet o tej samej nazwie opublikowany w publicznym rejestrze. Atakujący może opublikować złośliwy pakiet pod brakującą nazwą, który zostanie automatycznie pobrany i wykonany w kontekście instalacji Plone.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) w środowisku uruchomieniowym kontenera Docker, co może prowadzić do pełnego przejęcia instancji, wycieku danych oraz dalszego lateral movement w infrastrukturze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się zablokowanie możliwości rozwiązywania zależności npm z publicznego rejestru dla pakietów wewnętrznych oraz weryfikację wszystkich zależności wymienionych w konfiguracji statycznych komponentów Plone.