PT-2022-11644 · Linkedin · Dustjs

Baiyecha404 · Publicado 2022-12-21 · Atualizado 2024-05-17 · CVE-2021-4264

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do LinkedIn dustjs até 2.x

Versão 3.0.0 do LinkedIn dustjs

Descrição

Foi identificada uma vulnerabilidade no LinkedIn dustjs que permite a modificação inadequadamente controlada de atributos do protótipo de objetos, também conhecida como “contaminação de protótipo”. Essa vulnerabilidade pode ser explorada remotamente. O código de exploração já foi divulgado publicamente.

Recomendações

Para as versões do LinkedIn dustjs até 2.x, atualize para a versão 3.0.0 para resolver este problema.

Para a versão 3.0.0 do LinkedIn dustjs, atualize para a versão 3.0.1 para resolver este problema.

Exploit

Correção

Special Elements Injection

Code Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-74

CWE-94

CWE-1321

Identificadores relacionados

CVE-2021-4264

GHSA-C6RP-WRP9-QR4Q

Produtos afetados

Dustjs

Referências · 13

• 🔥 https://github.com/linkedin/dustjs/issues/804 · Exploit
• 🔥 https://github.com/linkedin/dustjs/pull/805 · Exploit
• https://github.com/linkedin/dustjs/commit/ddb6523832465d38c9d80189e9de60519ac307c3 · Correção
• https://github.com/linkedin/dustjs/releases/tag/v3.0.0 · Correção
• https://github.com/linkedin/dustjs · Nota
• https://osv.dev/vulnerability/CVE-2021-4264 · Aviso do Fabricante
• https://vuldb.com/?ctiid.216464 · Nota
• https://osv.dev/vulnerability/GHSA-c6rp-wrp9-qr4q · Aviso do Fabricante
• https://t.me/cibsecurity/55072 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-4264 · Nota de Segurança
• https://vuldb.com/?id.216464 · Nota
• https://t.me/cvenotify/40377 · Publicação no Telegram
• https://t.me/cvenotify/40653 · Publicação no Telegram