PT-2021-11552 · Total.Js · Total.Js

Alessio Dellalibera · Publicado 2021-02-02 · Atualizado 2021-02-05 · CVE-2020-28495

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

**Nome do software vulnerável e versões afetadas:

Versões do total.js anteriores à 3.4.7

Descrição:

O problema está relacionado a uma vulnerabilidade de contaminação de protótipos na função set, que pode ser usada para definir um valor em um objeto de acordo com um caminho. No entanto, as chaves do caminho que está sendo definido não são devidamente sanitizadas. O impacto depende da aplicação e pode levar a Negação de Serviço (DoS), Execução Remota de Código ou Injeção de Propriedade em alguns casos.

Recomendações:

Para versões do total.js anteriores à 3.4.7, atualize para a versão 3.4.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função set para minimizar o risco de exploração.

Exploit

Correção

Prototype Pollution

Resource Exhaustion

Enumeração de Fraquezas

CWE-1321

CWE-400

Identificadores relacionados

CVE-2020-28495

GHSA-6CF8-QHQJ-VJQM

SNYK-JS-TOTALJS-1046671

Produtos afetados

Total.Js

Referências · 11

• 🔥 https://snyk.io/vuln/SNYK-JS-TOTALJS-1046671 · Exploit
• https://github.com/totaljs/framework/blob/master/utils.js%23L6617 · Nota
• https://github.com/totaljs/framework/commit/b3f901561d66ab799a4a99279893b94cad7ae4ff · Correção
• https://github.com/totaljs/framework/blob/master/utils.js%23L6606 · Nota
• https://osv.dev/vulnerability/GHSA-6cf8-qhqj-vjqm · Aviso do Fabricante
• https://npmjs.com/package/total.js · Nota
• https://t.me/cibsecurity/22939 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-28495 · Nota de Segurança
• https://t.me/cvenotify/9237 · Publicação no Telegram
• https://docs.totaljs.com/latest/en.html%23api~FrameworkUtils~U.set · Nota
• https://osv.dev/vulnerability/CVE-2020-28495 · Aviso do Fabricante