PT-2024-28308 · Airvertco · Airvertco Frappejs

Mestrtee · Publicado 2024-07-01 · Atualizado 2024-07-04 · CVE-2024-38992

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

airvertco frappejs versão 0.0.11

Descrição

O problema está relacionado a uma vulnerabilidade de contaminação de protótipos por meio da função registerView. Isso permite que invasores executem código arbitrário ou provoquem uma negação de serviço (DoS) ao injetar propriedades arbitrárias.

Recomendações

Para o airvertco frappejs versão 0.0.11, considere desativar a função registerView como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à função para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2024-38992

GHSA-GC7M-596H-X57R

Produtos afetados

Airvertco Frappejs

Referências · 8

• https://github.com/frappe/frappejs · Nota
• https://gist.github.com/mestrtee/10c88b9069229979ac7e52e0efc98055 · Nota
• https://npmjs.com/package/@airvertco/frappejs · Nota
• https://twitter.com/cracbot/status/1809105030097875014 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-38992 · Nota de Segurança
• https://t.me/cvenotify/84893 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gc7m-596h-x57r · Aviso do Fabricante
• https://t.me/cvenotify/84913 · Publicação no Telegram