Критическая уязвимость в TypeScript библиотеке: угроза для миллионов проектов

Онлайн-тренажер Python для начинающих

Изучайте Python легко и без перегрузки теорией. Решайте практические задачи с автоматической проверкой, получайте подсказки на русском языке и пишите код прямо в браузере — без необходимости что-либо устанавливать.

Начать курс

Критическая уязвимость в популярной TypeScript библиотеке: что нужно знать разработчикам

25 марта 2025 года команда безопасности зафиксировала критическую уязвимость (CVE-2024-XXXXX) в одной из самых популярных библиотек экосистемы TypeScript — ts-utils-core. Эта библиотека используется в более чем 50 000 проектов на GitHub, включая крупные корпоративные решения и стартапы. Уязвимость позволяет злоумышленнику удаленно выполнить произвольный код на сервере, что ставит под угрозу целостность данных и работу приложений.

Подробности уязвимости

Проблема связана с некорректной обработкой входных данных в функции parseConfig, которая отвечает за разбор конфигурационных файлов. Из-за недостаточной валидации типов, злоумышленник может передать специально сформированный JSON-объект, который приводит к выполнению произвольного JavaScript-кода в контексте приложения. Уязвимы версии библиотеки с 4.0.0 по 4.7.3.

Потенциальные последствия

Удаленное выполнение кода (RCE) — атакующий может получить полный контроль над сервером.
Утечка данных — доступ к конфиденциальной информации, ключам API и базам данных.
Компрометация пользователей — если библиотека используется на клиентской стороне, возможен запуск вредоносного кода в браузере.
Отказ в обслуживании (DoS) — некорректный ввод может привести к краху приложения.

Как защитить свой проект

Разработчики библиотеки уже выпустили патч в версии 4.7.4. Если вы используете ts-utils-core, настоятельно рекомендуется:

Немедленно обновить зависимость до версии 4.7.4 или выше командой: npm install ts-utils-core@latest.
Проверить, не используется ли уязвимая версия в транзитивных зависимостях (используйте npm audit или yarn audit).
Временно отключить функцию parseConfig в коде, если обновление невозможно.
Включить строгую проверку типов TypeScript (strict: true в tsconfig.json), чтобы снизить риск подобных ошибок в будущем.