PT-2022-9026 · Unknown · Hughsk Flat

Hughsk · Publicado 2022-12-25 · Atualizado 2024-05-17 · CVE-2020-36632

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do hughsk flat até a 5.0.0

Descrição

Foi identificada uma vulnerabilidade crítica no hughsk flat, afetando a função unflatten do arquivo index.js. A manipulação leva a uma modificação mal controlada dos atributos do protótipo do objeto, conhecida como “poluição de protótipo”. É possível iniciar o ataque remotamente.

Recomendações

Para versões até 5.0.0, atualize para a versão 5.0.1 para resolver este problema.

Como solução temporária, considere desativar a função unflatten até que um patch esteja disponível.

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2020-36632

GHSA-2J2X-2GPW-G8FM

Produtos afetados

Hughsk Flat

Referências · 19

• https://github.com/hughsk/flat/compare/4.1.0...4.1.1 · Nota
• https://github.com/hughsk/flat/compare/v1.6.0...1.6.2 · Nota
• https://github.com/hughsk/flat/compare/v2.0.1...2.0.2 · Nota
• https://github.com/hughsk/flat/compare/3.0.0...3.0.1 · Nota
• https://github.com/hughsk/flat/commit/20ef0ef55dfa028caddaedbcb33efbdb04d18e13 · Correção
• https://github.com/hughsk/flat/releases/tag/5.0.1 · Correção
• https://github.com/hughsk/flat/pull/106 · Correção
• https://github.com/hughsk/flat/issues/105 · Nota
• https://github.com/hughsk/flat · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-36632 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-2j2x-2gpw-g8fm · Aviso do Fabricante
• https://vuldb.com/?ctiid.216777 · Nota
• https://t.me/cvenotify/40662 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2020-36632 · Aviso do Fabricante
• https://vuldb.com/?id.216777 · Nota