PT-2020-6065 · Object Path+2 · Object-Path+2

Alromh87 + 3 · Publicado 2020-10-19 · Atualizado 2023-03-22 · CVE-2020-15256

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do object-path <= 0.11.4

Descrição

Foi identificada uma vulnerabilidade de contaminação de protótipos no método set() da biblioteca object-path. A vulnerabilidade está limitada ao modo includeInheritedProps, que deve ser explicitamente ativado criando-se uma nova instância de object-path e definindo a opção includeInheritedProps: true, ou utilizando a instância padrão withInheritedProps. Qualquer uso de set() nas versões < 0.11.0 é vulnerável. O problema foi corrigido na versão 0.11.5 do object-path.

Recomendações

Para versões <= 0.11.4, atualize para a versão 0.11.5 para corrigir o problema.

Como solução temporária, não use as opções includeInheritedProps: true ou a instância withInheritedProps se estiver usando uma versão >= 0.11.0.

Correção

Prototype Pollution

RCE

Enumeração de Fraquezas

CWE-1321

CWE-471

CWE-20

Identificadores relacionados

BDU:2021-02875

CVE-2020-15256

DLA-3291-1

GHSA-CWX2-736X-MF6W

USN-5967-1

Produtos afetados

Linuxmint

Ubuntu

Object-Path

Referências · 23

• https://github.com/mariocasciaro/object-path/commit/2be3354c6c46215c7635eb1b76d80f1319403c68 · Correção
• https://github.com/mariocasciaro/object-path/security/advisories/GHSA-cwx2-736x-mf6w · Nota
• https://github.com/mariocasciaro/object-path · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-15256 · Aviso do Fabricante
• https://snyk.io/vuln/SNYK-JS-OBJECTPATH-1017036 · Nota
• https://osv.dev/vulnerability/USN-5967-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15256 · Aviso do Fabricante
• https://ubuntu.com/security/notices/USN-5967-1 · Aviso do Fabricante
• https://t.me/cvenotify/20519 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2021-23434 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2020-15256 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3291-1 · Aviso do Fabricante
• https://t.me/cibsecurity/15401 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-15256 · Nota de Segurança
• https://npmjs.com/advisories/1573 · Nota