CVE-2016-10601
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Le package npm `webdrvr` est affecté car il télécharge des binaires WebDriver via une connexion HTTP non chiffrée. Un attaquant positionné sur le réseau entre votre serveur et la source de téléchargement peut intercepter la requête et remplacer le binaire légitime par un binaire malveillant, entraînant une exécution de code à distance. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, bien qu'elle soit difficile à exécuter puisque l'attaquant doit être en mesure de réaliser une attaque de l'homme du milieu (man-in-the-middle).
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
webdrvr is a npm wrapper for Selenium Webdriver including Chromedriver / IEDriver / IOSDriver / Ghostdriver. webdrvr downloads binary resources over HTTP, which leaves it vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.