Command injection vulnerability in @prisma/sdk in getPackedPackage function
Impact
As of today, we are not aware of any Prisma users or external consumers of the @prisma/sdk package who are affected by this security vulnerability.
This issue may lead to remote code execution if a client of the library calls the vulnerable method with untrusted input.
It only affects the getPackedPackage function and this function is not advertised and only used for tests & building our CLI, no malicious code was found after checking our codebase.
Patches
Fixed in
- @prisma/sdk@2.20.0 (latest channel)
- @prisma/sdk@2.20.0-dev.29 (dev channel)
Pull Request closing this vulnerability https://github.com/prisma/prisma/pull/6245
Acknowledgements
This issue was discovered and reported by GitHub Engineer @erik-krogh (Erik Krogh Kristensen).
For more information
If you have any questions or comments about this advisory:
- Create a discussion in the Prisma repository
- Email us at security@prisma.io
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @prisma/sdk | < 2.20.0 | 2.20.0 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:N- Słabość (CWE)
CWE-78- Platforma
- npm
- Paczka
@prisma/sdk- Ujawniono
- 06.04.2021
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-pxcc-hj8w-fmm7 - CC BY 4.0
Historia podatności: @prisma/sdk
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.