PT-2024-40362 · Jsii · Jsii
Publicado
2024-12-18
·
Atualizado
2024-12-18
CVSS v3.1
3.7
Baixa
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do jsii <=5.7.2
Versões do jsii <=5.6.3
Versões do jsii <=5.5.14
Versões do jsii <=5.4.45
Descrição
A vulnerabilidade diz respeito à contaminação de protótipos que pode ocorrer quando entradas não confiáveis do usuário são passadas para a função
jsii.configureCategories() em aplicativos que carregam o jsii como biblioteca. Isso pode levar à adição de um campo chamado “category” com um valor controlado pelo usuário ao protótipo do objeto JavaScript, afetando todos os objetos do programa. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.Os detalhes técnicos sobre a exploração incluem o uso da função
jsii.configureCategories() com entradas do usuário que podem ser manipuladas para adicionar um campo chamado “category” ao protótipo do objeto JavaScript. A propriedade proto pode ser usada para isso. Por exemplo, chamar jsii.configureCategories(JSON.parse(‘{“ proto ”: “user-input”}’)) pode adicionar o campo “category” ao protótipo.Recomendações
Para versões <=5.7.2, atualize para a versão 5.7.3 ou posterior.
Para versões <=5.6.3, atualize para a versão 5.6.4 ou posterior.
Para versões <=5.5.14, atualize para a versão 5.5.15 ou posterior.
Para versões <=5.4.45, atualize para a versão 5.4.46 ou posterior.
Como solução temporária, limpe a entrada do usuário para
configureCategories() removendo a propriedade proto, caso seja detectada.Correção
Prototype Pollution
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jsii