PT-2021-15529 · Jointjs · Jointjs

Alessio Della Libera · Publicado 2021-09-21 · Atualizado 2021-10-02 · CVE-2021-23444

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do jointjs anteriores à 3.4.2

Descrição

Um problema de confusão de tipos pode levar a uma falha de segurança quando as chaves fornecidas pelo usuário no parâmetro path da função setByPath são matrizes.

Recomendações

Para versões anteriores à 3.4.2, atualize para a versão 3.4.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função setByPath com valores de matriz no parâmetro path até que um patch esteja disponível.

Exploit

Correção

Type Confusion

Prototype Pollution

Enumeração de Fraquezas

CWE-843

CWE-1321

Identificadores relacionados

CVE-2021-23444

GHSA-F3PP-32QC-36W4

SNYK-JAVA-ORGWEBJARSBOWER-1655817

SNYK-JAVA-ORGWEBJARSNPM-1655816

SNYK-JS-JOINTJS-1579578

Produtos afetados

Jointjs

Referências · 11

• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-1655817 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-JOINTJS-1579578 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1655816 · Exploit
• https://github.com/clientIO/joint/releases/tag/v3.4.2 · Nota
• https://github.com/clientIO/joint/commit/e5bf89efef6d5ea572d66870ffd86560de7830a8 · Correção
• https://github.com/clientIO/joint/pull/1514 · Nota
• https://github.com/clientIO/joint · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23444 · Nota de Segurança
• https://t.me/cibsecurity/29191 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23444 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f3pp-32qc-36w4 · Aviso do Fabricante