CVE-2016-10593
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les applications NodeJS utilisant la bibliothèque `ibapi` (version 2.5.5 et versions antérieures) sont vulnérables à l'exécution de code à distance. Un attaquant positionné sur le réseau entre votre serveur et la source distante peut intercepter les téléchargements binaires et les remplacer par du code malveillant pour prendre le contrôle total de votre système. Cela ne nécessite ni authentification ni interaction de l'utilisateur, bien que l'attaquant doive être correctement positionné en tant qu'intermédiaire (attaque man-in-the-middle).
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
ibapi is an Interactive Brokers API addon for NodeJS. ibapi downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. Before 2.5.6, it may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.