PT-2021-15539 · Js Data · Js-Data

Sourav Kumar · Publicado 2021-12-24 · Atualizado 2022-01-12 · CVE-2021-23574

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do js-data anteriores à versão corrigida

Descrição

O problema diz respeito à contaminação de protótipos (Prototype Pollution) por meio das funções deepFillIn e set. Isso está relacionado a uma correção incompleta de um problema anterior.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2021-23574

GHSA-C6H4-GC3F-HGJQ

SNYK-JAVA-ORGWEBJARSBOWER-2320790

SNYK-JAVA-ORGWEBJARSNPM-2320791

SNYK-JS-JSDATA-1584361

Produtos afetados

Js-Data

Referências · 11

• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-2320790 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-2320791 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JS-JSDATA-1584361 · Exploit
• https://github.com/js-data/js-data · Nota
• https://github.com/js-data/js-data/blob/master/dist/js-data.js%23L472 · Nota
• https://github.com/js-data/js-data/issues/577 · Correção
• https://github.com/js-data/js-data/issues/576 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-23574 · Nota de Segurança
• https://t.me/cvenotify/24887 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23574 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c6h4-gc3f-hgjq · Aviso do Fabricante