CVE-2016-10566
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Le module `install-nw` (versions antérieures à 1.1.5) est affecté car il télécharge les binaires NW.js via HTTP non chiffré. Un attaquant positionné sur le réseau entre votre serveur et la source de téléchargement peut remplacer le binaire légitime par un binaire malveillant, entraînant l'exécution de code à distance sur votre système. Cela ne nécessite ni authentification ni interaction de l'utilisateur, bien que l'attaquant doive être en position d'effectuer une attaque de type « man-in-the-middle ».
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
install-nw is a module which quickly and robustly installs and caches NW.js. install-nw versions below 1.1.5 download binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.