PT-2022-13783 · Unknown · Fullpage.Js

Publicado 2022-04-11 · Atualizado 2022-04-15 · CVE-2022-1295

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do fullpage.js anteriores à 4.0.2

Descrição

O problema está relacionado à contaminação de protótipos (Prototype Pollution) no repositório GitHub do fullpage.js. Isso afeta o utilitário deepExtend, que faz parte dos utilitários fullPage disponíveis aos desenvolvedores por meio de window.fp utils. O utilitário deepExtend está vulnerável, permitindo que um invasor sobrescreva ou crie propriedades de um tipo de objeto explorando a vulnerabilidade de poluição de protótipo. Isso pode ter efeitos graves no aplicativo se o desenvolvedor afetado tiver usado a propriedade sobrescrita em outra parte do código.

Recomendações

Para versões anteriores à 4.0.2, atualize para a versão 4.0.2 ou posterior para resolver o problema.

Como solução alternativa temporária, considere evitar o uso do utilitário deepExtend até que um patch seja aplicado.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2022-1295

GHSA-VPGW-FFH3-648H

Produtos afetados

Fullpage.Js

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/1xxx/CVE-2022-1295.json · Exploit
• 🔥 https://huntr.dev/bounties/3b9d450c-24ac-4037-b04d-4d4dafbf593a · Exploit
• https://github.com/alvarotrigo/fullpage.js/commit/bf62492a22e5d296e63c3ed918a42fc5645a0d48 · Correção
• https://github.com/alvarotrigo/fullpage.js · Nota
• https://t.me/cvenotify/28693 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vpgw-ffh3-648h · Aviso do Fabricante
• https://t.me/cibsecurity/40454 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-1295 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-1295 · Aviso do Fabricante