PT-2020-19673 · None · Class-Transformer

CVE-2020-7637 · Publicado 2020-04-06 · Atualizado 2022-12-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do class-transformer anteriores à 0.3.1

Descrição

A vulnerabilidade permite que invasores realizem um ataque de “Prototype Pollution”. A função classToPlainFromExist pode ser induzida a adicionar ou modificar propriedades de Object.prototype por meio de uma carga maliciosa proto.

Recomendações

Para versões anteriores à 0.3.1, atualize para a versão 0.3.1 ou posterior para resolver o problema.

Como solução temporária, considere restringir o uso da função classToPlainFromExist até que um patch esteja disponível.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

CWE-915

Identificadores relacionados

CVE-2020-7637

GHSA-6GP3-H3JJ-PRX4

SNYK-JS-CLASSTRANSFORMER-564431

Produtos afetados

Class-Transformer

Referências · 8

• 🔥 https://snyk.io/vuln/SNYK-JS-CLASSTRANSFORMER-564431 · Exploit
• https://github.com/typestack/class-transformer/commit/8f04eb9db02de708f1a20f6f2d2bb309b2fed01e · Correção
• https://github.com/typestack/class-transformer/blob/a650d9f490573443f62508bc063b857bcd5e2525/src/ClassTransformer.ts#L29-L31, · Nota
• https://github.com/typestack/class-transformer · Nota
• https://t.me/cvenotify/2429 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-7637 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-7637 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6gp3-h3jj-prx4 · Aviso do Fabricante