CVE-2024-22020

En bref

Sévérité: MEDIUM 6.5
EPSS: EPSS 1.10 % · centile 66 (2026-10-27)
État: PUBLISHED
Publiée: 2024-07-09
Mise à jour: 2025-04-30
Attribuée par: hackerone
Statut NVD: Deferred

Description

A security flaw in Node.js allows a bypass of network import restrictions. By embedding non-network imports in data URLs, an attacker can execute arbitrary code, compromising system security. Verified on various platforms, the vulnerability is mitigated by forbidding data URLs in network imports. Exploiting this flaw can violate network import security, posing a risk to developers and servers.

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.0	MEDIUM 6.5	CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H	hackerone
CVSS 3.0	MEDIUM 6.5	CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H	NVD · support@hackerone.com (Secondary)

Faiblesses (CWE)

CWE-94

Références européennes

ENISA EUVD · EUVD-2024-19626
GCVE · GCVE-0-2024-22020

Avis du CERT-FR

CERTFR-2025-AVI-0967 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0055 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2025-AVI-0021 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-1103 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0883 — Multiples vulnérabilités dans Oracle Java SE · cert.ssi.gouv.fr

Produits affectés

Produit	Versions
NodeJS · Node	affected 4.0 < 4.* ; affected 5.0 < 5.* ; affected 6.0 < 6.* ; affected 7.0 < 7.* ; affected 8.0 < 8.* ; affected 9.0 < 9.*

Références

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD