dot-access: Code-Injection in get() über manipulierten Pfad-Parameter

Zusammenfassung

Das npm-Paket dot-access ab Version 0.0.3 bis 1.0.0 erstellt aus dem Pfad-Parameter von get() eine JavaScript-Funktion. Ein entfernter Angreifer, der diesen Pfad steuern kann, kann beliebiges JavaScript und Betriebssystembefehle im Node.js-Prozess ausführen. Der CVE-Eintrag stuft die Schwachstelle als KRITISCH ein (CVSS 4.0: 9.3); das Risiko ist indirekt und betrifft nur Anwendungen, die vom Angreifer kontrollierte Eingaben an get() übergeben.

Betroffen

• dot-access 0.0.3 bis 1.0.0 (gemäss CVE-Eintrag; Standardstatus nicht betroffen)

Behoben in

• Unbekannt. OSV führt den Fix-Commit 371c786a9038c6ddeba12c852b86aabe5292df79, es ist jedoch keine Version mit diesem Commit bestätigt.
• Keine Herstellerwarnung gefunden.

Umgehung

• In betroffenen Versionen keine benutzergesteuerten Eingaben an get() übergeben.
• Paket entfernen, wenn es nicht benötigt wird, oder auf eine nicht betroffene Version fixieren.
• Daten, die an get() übergeben werden, zur Absicherung validieren.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar ja, technische Auswirkung total.
• Im CVE-Eintrag wird ein öffentlicher Proof-of-Concept-Gist referenziert; dessen Inhalt wurde nicht geprüft.
• Nicht im CISA-KEV-Katalog; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• EPSS 0.00501 (niedrig).

Unsere Empfehlung

• Mit 'npm ls dot-access' oder über Lockfiles in allen Projekten prüfen, wo das Paket installiert ist, einschliesslich transitiver Abhängigkeiten.
• Internet-erreichbare Node.js-Anwendungen priorisieren, die das Paket mit benutzergesteuerten Pfaden verwenden, etwa Formularfelder oder Query-Parameter.
• Betroffene Funktionalität entfernen oder einschränken, bis eine korrigierte Version bestätigt ist.
• Das GitHub-Repository und den OSV-Eintrag auf eine Version mit dem Fix überwachen und diese zeitnah einspielen.
• Anwendungsprotokolle auf ungewöhnliche Pfad-Eingaben prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• GitHub repository ntharim/dot-access github.com
• Vulnerable code index.js (v1.0.0) github.com
• Public write-up gist (R3tro16) gist.github.com
• OSV entry CVE-2026-107700 osv.dev
• Strix CVE-2026-107700 www.strix.ai
• VulDB 415530 vuldb.com
• Vulners VulnCheck/Vulnrichment CVE-2026-107700 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:55.