PT-2020-19741 · Locutus · Locutus

Nerdjs · Publicado 2020-09-01 · Atualizado 2022-12-02 · CVE-2020-7719

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do locutus anteriores à 2.0.12

Descrição

O problema diz respeito à contaminação de protótipos (Prototype Pollution) por meio da função php.strings.parse str. Isso afeta o pacote locutus, permitindo a possível manipulação de objetos.

Recomendações

Para versões anteriores à 2.0.12, atualize para a versão 2.0.12 ou posterior para resolver o problema.

Exploit

Correção

Prototype Pollution

RCE

Enumeração de Fraquezas

CWE-1321

CWE-915

CWE-20

Identificadores relacionados

CVE-2020-7719

GHSA-F98M-Q3HR-P5WQ

SNYK-JS-LOCUTUS-598675

Produtos afetados

Locutus

Referências · 7

• 🔥 https://github.com/kvz/locutus/pull/418 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-LOCUTUS-598675 · Exploit
• https://github.com/locutusjs/locutus/commit/0eb16d8541838e80f3c2340a9ef93ded7c97290f · Nota
• https://github.com/kvz/locutus · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-7719 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-7719 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f98m-q3hr-p5wq · Aviso do Fabricante