PT-2022-24023 · Unknown · Grunt-Karma+1

Secdevlpr26 · Publicado 2022-10-14 · Atualizado 2022-10-15 · CVE-2022-37602

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

karma-runner grunt-karma versão 4.0.1

Descrição

O problema está relacionado a uma vulnerabilidade de contaminação de protótipos no karma-runner grunt-karma. Ela ocorre por meio da variável key no arquivo grunt-karma.js.

Recomendações

Para a versão 4.0.1, considere restringir o acesso ao arquivo grunt-karma.js ou à variável key até que uma correção esteja disponível. Como solução temporária, evite usar a variável key no arquivo grunt-karma.js afetado para minimizar o risco de exploração.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

AZL-45309

CVE-2022-37602

GHSA-HCJ4-XF6X-63WJ

Produtos afetados

Grunt-Karma

Karma-Runner

Referências · 9

• 🔥 https://github.com/karma-runner/grunt-karma/blob/45b925964f55870f375c6e670d9945b223c984f5/tasks/grunt-karma.js#L26 · Exploit
• 🔥 https://github.com/karma-runner/grunt-karma/blob/45b925964f55870f375c6e670d9945b223c984f5/tasks/grunt-karma.js#L109 · Exploit
• https://github.com/karma-runner/grunt-karma/issues/311 · Nota
• https://github.com/karma-runner/grunt-karma · Nota
• https://osv.dev/vulnerability/GHSA-hcj4-xf6x-63wj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-37602 · Nota de Segurança
• https://osv.dev/vulnerability/AZL-45309 · Aviso do Fabricante
• https://t.me/cibsecurity/51393 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-37602 · Aviso do Fabricante