FICHE CVE

CVE-2023-28446

Publiée le 2023-03-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les environnements d'exécution Deno utilisés avec des invites interactives sont affectés par une faille dans la manière dont les noms de programmes sont filtrés. Un attaquant non authentifié peut inciter un utilisateur à exécuter un programme malveillant qui efface et remplace le texte dans le terminal afin de tromper l'utilisateur sur ce qui est réellement en cours d'exécution. Cela nécessite un accès réseau et une interaction de l'utilisateur pour être déclenché, mais ne requiert aucune authentification préalable.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

CWE-150

Publiée2023-03-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Deno is a simple, modern and secure runtime for JavaScript and TypeScript that uses V8 and is built in Rust. Arbitrary program names without any ANSI filtering allows any malicious program to clear the first 2 lines of a `op_spawn_child` or `op_kill` prompt and replace it with any desired text. This works with any command on the respective platform, giving the program the full ability to choose what program they wanted to run. This problem can not be exploited on systems that do not attach an interactive prompt (for example headless servers). This issue has been patched in version 1.31.2.