PT-2021-15506 · Unknown · Merge-Deep

Publicado 2021-07-28 · Atualizado 2021-08-10 · CVE-2021-23417

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

todas as versões do deepmergefn

Descrição

O problema diz respeito à contaminação de protótipos (Prototype Pollution) por meio da função deepMerge. Isso afeta todas as versões do pacote, permitindo uma possível manipulação da cadeia de protótipos.

Recomendações

Para todas as versões, considere desativar a função deepMerge como uma solução temporária até que um patch esteja disponível. Restrinja o uso da função deepMerge para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

CWE-915

Identificadores relacionados

CVE-2021-23417

GHSA-VJ72-MWRJ-M2XQ

Produtos afetados

Merge-Deep

Referências · 7

• 🔥 https://snyk.io/vuln/SNYK-JS-DEEPMERGEFN-1310984 · Exploit
• https://github.com/jesusgm/deepmergefn/blob/master/index.js#23L6 · Nota
• https://github.com/jesusgm/deepmergefn/blob/master/index.js%23L6 · Nota
• https://github.com/jesusgm/deepmergefn · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23417 · Nota de Segurança
• https://t.me/cibsecurity/26559 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vj72-mwrj-m2xq · Aviso do Fabricante