PT-2021-8000 · Npm · Json-Pointer

Alessio Della Libera · Publicado 2021-10-31 · Atualizado 2025-03-05 · CVE-2021-23807

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do jsonpointer anteriores à 5.0.0

Descrição

Um problema de confusão de tipos no pacote jsonpointer pode levar à contornamento de uma correção anterior de “Prototype Pollution” quando os componentes do ponteiro são matrizes. Isso pode permitir que um invasor remoto execute código arbitrário. O problema está relacionado a erros na conversão de tipos de dados.

Recomendações

Para versões anteriores à 5.0.0, atualize para a versão 5.0.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do pacote jsonpointer até que um patch seja aplicado. Evite usar o pacote jsonpointer com componentes de matriz nos caminhos de ponteiro até que o problema seja resolvido.

Exploit

Correção

Prototype Pollution

Type Confusion

Enumeração de Fraquezas

CWE-1321

CWE-843

Identificadores relacionados

BDU:2024-01733

CVE-2021-23807

GHSA-282F-QQGM-C34Q

OESA-2022-1755

SNYK-JAVA-ORGWEBJARSNPM-1910273

SNYK-JS-JSONPOINTER-1577288

Produtos afetados

Json-Pointer

Referências · 16

• 🔥 https://snyk.io/vuln/SNYK-JS-JSONPOINTER-1577288 · Exploit
• 🔥 https://snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1910273 · Exploit
• https://github.com/janl/node-jsonpointer/pull/51 · Correção
• https://github.com/janl/node-jsonpointer/commit/a0345f3550cd9c4d89f33b126390202b89510ad4 · Correção
• https://github.com/janl/node-jsonpointer · Nota
• https://osv.dev/vulnerability/OESA-2022-1755 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-01733 · Nota de Segurança
• https://t.me/cibsecurity/31760 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-23807 · Aviso do Fabricante
• https://t.me/cvenotify/113569 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1910273 · Nota
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1755 · Nota
• https://osv.dev/vulnerability/GHSA-282f-qqgm-c34q · Aviso do Fabricante
• https://access.redhat.com/security/cve/CVE-2021-23807 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23807 · Nota de Segurança