PT-2021-23086 · Aurelia · Aurelia-Path+1
Msrkp
·
Publicado
2021-09-27
·
Atualizado
2026-01-29
·
CVE-2021-41097
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do aurelia-path anteriores à 1.1.7
Descrição
O problema está relacionado a uma vulnerabilidade de contaminação de protótipo no aurelia-path, que faz parte da plataforma Aurelia e contém utilitários para manipulação de caminhos. Essa vulnerabilidade expõe aplicativos Aurelia que utilizam o pacote
aurelia-path para analisar uma string, particularmente aqueles que empregam o pacote aurelia-router. Um exemplo de exploração poderia envolver um invasor induzindo um aplicativo a analisar uma URL como https://aurelia.io/blog/? proto [asdf]=asdf, permitindo potencialmente que o invasor altere o protótipo da classe de objeto base Object.Recomendações
Para versões anteriores à 1.1.7, atualize para a versão 1.1.7 para resolver o problema.
Como solução alternativa temporária, considere usar
Object.freeze(Object.prototype) para mitigar parcialmente a vulnerabilidade.Exploit
Correção
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Aurelia-Path
Aurelia-Router