PT-2021-6839 · Jszip · Jszip

Dave Holoway

·

Publicado

2021-05-01

·

Atualizado

2021-08-27

·

CVE-2021-23413

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Nome do software vulnerável e versões afetadas
Versões do jszip anteriores à 3.7.0
Descrição
O problema está relacionado ao tratamento incorreto de nomes de arquivos na biblioteca jszip. Isso permite que um invasor remoto cause uma negação de serviço criando um novo arquivo zip com nomes de arquivos definidos como valores de protótipo de objeto, tais como proto ou toString, resultando em um objeto retornado com uma instância de protótipo modificada.
Recomendações
Para versões anteriores à 3.7.0, atualize para a versão 3.7.0 ou posterior para resolver o problema.
Como solução temporária, considere restringir o uso da biblioteca jszip até que um patch seja aplicado.
Evite usar a biblioteca jszip para processar arquivos zip com nomes de arquivo que possam ser definidos como valores de protótipo de objeto.

Exploit

Correção

Code Injection

Prototype Pollution

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2022-02264
CVE-2021-23413
GHSA-JG8V-48H5-WGXG
SNYK-JAVA-ORGWEBJARS-1251499
SNYK-JAVA-ORGWEBJARSNPM-1251498
SNYK-JS-JSZIP-1251497

Produtos afetados

Jszip