PT-2020-16966 · Deep-Set · Deep-Set

Publicado 2020-12-29 · Atualizado 2022-05-24 · CVE-2020-28276

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

deep-set, versões 1.0.0 a 1.0.1

Descrição

A vulnerabilidade permite que um invasor cause uma negação de serviço e pode levar à execução remota de código devido a uma vulnerabilidade de poluição de protótipos. Isso ocorre porque a função deepSet() não verifica o tipo do objeto antes de atribuir um valor a uma propriedade, permitindo que um invasor crie propriedades inexistentes ou manipule as existentes.

Recomendações

Para as versões 1.0.0 a 1.0.1 do deep-set, considere desativar a função deepSet() até que um patch esteja disponível para evitar uma possível exploração. Restrinja o uso da função deepSet() para minimizar o risco de negação de serviço ou execução remota de código. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2020-28276

GHSA-WGXM-RG53-H2C6

Produtos afetados

Deep-Set

Referências · 9

• 🔥 https://github.com/klaemo/deep-set/blob/103d650b3de1f5c6cf051236347ba59e7274cd07/index.js#L39 · Exploit
• 🔥 https://whitesourcesoftware.com/vulnerability-database/CVE-2020-28276 · Exploit
• https://github.com/klaemo/deep-set · Nota
• https://t.me/cvenotify/7919 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-28276 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-wgxm-rg53-h2c6 · Aviso do Fabricante
• https://t.me/cvenotify/7890 · Publicação no Telegram
• https://web.archive.org/web/20210320110509/https://whitesourcesoftware.com/vulnerability-database/CVE-2020-28276 · Nota
• https://osv.dev/vulnerability/CVE-2020-28276 · Aviso do Fabricante