PT-2020-19764 · Tsed · @Tsed/Core

Sam Sanoop · Publicado 2020-10-20 · Atualizado 2022-12-02 · CVE-2020-7748

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:M/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do @tsed/core anteriores à 5.65.7

Descrição

Este problema está relacionado à função deepExtend, que faz parte do diretório utils. Dependendo da entrada do usuário, um invasor pode sobrescrever e corromper o protótipo de objeto de um programa.

Recomendações

Para versões anteriores à 5.65.7, atualize para a versão 5.65.7 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para impedir a exploração da função deepExtend.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

CWE-915

Identificadores relacionados

CVE-2020-7748

GHSA-77XQ-CPVG-7XM2

SNYK-JS-TSEDCORE-1019382

Produtos afetados

@Tsed/Core

Referências · 8

• 🔥 https://snyk.io/vuln/SNYK-JS-TSEDCORE-1019382 · Exploit
• https://github.com/TypedProject/tsed/blob/production/packages/core/src/utils/deepExtends.ts%23L36 · Correção
• https://github.com/TypedProject/tsed/commit/1395773ddac35926cf058fc6da9fb8e82266761b · Correção
• https://github.com/tsedio/tsed · Nota
• https://t.me/cibsecurity/15404 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-7748 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-7748 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-77xq-cpvg-7xm2 · Aviso do Fabricante