PT-2021-15521 · Unknown · Algoliasearch-Helper

Divyesh Prajapati · Publicado 2021-11-19 · Atualizado 2025-10-05 · CVE-2021-23433

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do algoliasearch-helper anteriores à 3.6.2

Descrição

O problema decorre do uso da função merge em src/SearchParameters/index.js, especificamente na função SearchParameters. parseNumbers, sem proteção contra propriedades de protótipo, levando à contaminação de protótipos. Isso só pode ser explorado se a implementação permitir que os usuários definam padrões de pesquisa arbitrários.

Recomendações

Para versões anteriores à 3.6.2, atualize para a versão 3.6.2 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para impedir padrões de pesquisa arbitrários.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

CWE-915

Identificadores relacionados

CVE-2021-23433

GHSA-VPF5-82C8-9V36

SNYK-JS-ALGOLIASEARCHHELPER-1570421

Produtos afetados

Algoliasearch-Helper

Referências · 12

• 🔥 https://snyk.io/vuln/SNYK-JS-ALGOLIASEARCHHELPER-1570421 · Exploit
• https://github.com/algolia/algoliasearch-helper-js · Nota
• https://github.com/algolia/algoliasearch-helper-js/blob/3.5.5/src/SearchParameters/index.js%23L291 · Nota
• https://github.com/algolia/algoliasearch-helper-js/commit/4ff542b70b92a6b81cce8b9255700b0bc0817edd · Correção
• https://t.me/cvenotify/23517 · Publicação no Telegram
• https://t.me/cveNotify/136683 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-23433 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-23433 · Aviso do Fabricante
• https://t.me/cveNotify/137395 · Publicação no Telegram
• https://t.me/CVEtracker/33524 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vpf5-82c8-9v36 · Aviso do Fabricante
• https://t.me/cibsecurity/32728 · Publicação no Telegram