PT-2024-18943 · Dset · Dset

Tariq Hawis · Publicado 2024-09-11 · Atualizado 2024-09-11 · CVE-2024-21529

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do dset anteriores à 3.1.4

Descrição

O problema decorre de uma sanitização inadequada das entradas do usuário na função dset, permitindo que um invasor injete propriedades maliciosas em objetos usando a propriedade proto incorporada ao objeto. Essa vulnerabilidade possibilita a atribuição recursiva de propriedades maliciosas a todos os objetos do programa, facilitando a contaminação de protótipos.

Recomendações

Para versões anteriores à 3.1.4, atualize para a versão 3.1.4 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para impedir a exploração da função dset até que um patch seja aplicado. Evite usar a propriedade proto na função dset para minimizar o risco de contaminação de protótipos.

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2024-21529

GHSA-F6V4-CF5J-VF3W

Produtos afetados

Dset

Referências · 11

• https://github.com/lukeed/dset · Nota
• https://github.com/lukeed/dset/commit/16d6154e085bef01e99f01330e5a421a7f098afa · Nota
• https://t.me/cvenotify/94123 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-21529 · Nota de Segurança
• https://t.me/cvedetector/5334 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-f6v4-cf5j-vf3w · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-21529 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1833821542326653378 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1134 · Publicação no Telegram
• https://security.snyk.io/vuln/SNYK-JS-DSET-7116691 · Nota
• https://twitter.com/CVEnew/status/1833775320169951299 · Publicação no Twitter