PT-2020-17268 · Mquery · Mquery

Vkarpov15 · Publicado 2020-12-11 · Atualizado 2020-12-18 · CVE-2020-35149

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do mquery anteriores à 3.2.3

Descrição

A vulnerabilidade permite um ataque de poluição, pois uma propriedade especial, como proto, pode ser copiada durante uma operação de mesclagem ou clonagem. Isso ocorre no arquivo lib/utils.js.

Recomendações

Para versões anteriores à 3.2.3, atualize para a versão 3.2.3 ou posterior para resolver o problema. Como solução temporária, considere restringir as operações de mesclagem ou clonagem no arquivo lib/utils.js para evitar o ataque de poluição.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2020-35149

GHSA-45Q2-34RF-MR94

Produtos afetados

Mquery

Referências · 13

• https://github.com/aheckmann/mquery/commit/792e69fd0a7281a0300be5cade5a6d7c1d468ad4 · Correção
• https://t.me/cibsecurity/20629 · Publicação no Telegram
• https://t.me/cibsecurity/20609 · Publicação no Telegram
• https://t.me/cibsecurity/20497 · Publicação no Telegram
• https://t.me/cibsecurity/20570 · Publicação no Telegram
• https://t.me/cibsecurity/20550 · Publicação no Telegram
• https://t.me/cibsecurity/20478 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-35149 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-35149 · Nota de Segurança
• https://t.me/cibsecurity/20517 · Publicação no Telegram
• https://t.me/cibsecurity/20589 · Publicação no Telegram
• https://t.me/cibsecurity/20537 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-45q2-34rf-mr94 · Aviso do Fabricante