PT-2022-9400 · Unknown · Putil-Merge

Abdullah Alhamdan + 1 · Publicado 2022-02-04 · Atualizado 2022-02-09 · CVE-2021-23470

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do putil-merge anteriores à 3.8.0

Descrição

O problema decorre do fato de a função merge() não verificar os valores passados em seus argumentos, permitindo que um invasor forneça um valor malicioso ajustando-o para incluir a propriedade constructor. Essa vulnerabilidade é resultado de uma correção incompleta.

Recomendações

Para versões anteriores à 3.8.0, atualize para a versão 3.8.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a função merge() até que um patch esteja disponível. Restrinja o acesso à função merge() para minimizar o risco de exploração. Evite usar a propriedade constructor na função afetada até que o problema seja resolvido.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2021-23470

GHSA-4G77-CVGW-GRVW

SNYK-JS-PUTILMERGE-2391487

Produtos afetados

Putil-Merge

Referências · 8

• 🔥 https://snyk.io/vuln/SNYK-JS-PUTILMERGE-2391487 · Exploit
• https://github.com/panates/putil-merge/commit/476d00078dfb2827d7c9ee0f2392c81b864f7bc5 · Correção
• https://github.com/panates/putil-merge · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-23470 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4g77-cvgw-grvw · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-23470 · Aviso do Fabricante
• https://t.me/cvenotify/26300 · Publicação no Telegram
• https://t.me/cibsecurity/36873 · Publicação no Telegram