PT-2024-28327 · Agreejs · Agreejs

Mestrtee · Publicado 2024-07-01 · Atualizado 2024-07-04 · CVE-2024-39017

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

agreejs shared versão 0.0.1

Descrição

A vulnerabilidade permite que invasores executem código arbitrário ou provoquem uma negação de serviço (DoS) por meio da injeção de propriedades arbitrárias, aproveitando uma vulnerabilidade de contaminação de protótipos na função mergeInternalComponents.

Recomendações

Para a versão 0.0.1 do agreejs shared, considere desativar a função mergeInternalComponents como uma solução temporária até que um patch esteja disponível. Restrinja o acesso a componentes que utilizam essa função para minimizar o risco de exploração.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2024-39017

Produtos afetados

Agreejs

Referências · 4

• https://nvd.nist.gov/vuln/detail/CVE-2024-39017 · Nota de Segurança
• https://t.me/cvenotify/84909 · Publicação no Telegram
• https://twitter.com/cracbot/status/1809105042227802403 · Publicação no Twitter
• https://gist.github.com/mestrtee/039e3e337642e6bb7f36aeddfde41b8b · Nota