PT-2025-39711 · Unknown · Algoliasearch-Helper

Peng Zhou + 1 · Publicado 2025-09-27 · Atualizado 2025-10-05 · CVE-2025-3193

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do algoliasearch-helper de 2.0.0-rc1 até 3.11.2

Descrição O pacote contém uma vulnerabilidade de Prototype Pollution na função merge() dentro do arquivo merge.js. Isso permite a modificação do constructor.prototype, podendo levar à execução de código caso erros sejam capturados e parâmetros de pesquisa fornecidos pelo usuário sejam injetados. Este é um problema distinto de outro problema relatado. A vulnerabilidade não é explorável na configuração padrão do InstantSearch, pois os parâmetros de pesquisa não são modificáveis pelo usuário.

Recomendações Atualize para uma versão posterior à 3.11.2.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2025-3193

GHSA-529Q-4J3P-7C5R

Produtos afetados

Algoliasearch-Helper

Referências · 11

• 🔥 https://security.snyk.io/vuln/SNYK-JS-ALGOLIASEARCHHELPER-3318396 · Exploit
• https://github.com/algolia/algoliasearch-helper-js/commit/776dff23c87b0902e554e02a8c2567d2580fe12a · Correção
• https://github.com/algolia/algoliasearch-helper-js · Nota
• https://github.com/algolia/algoliasearch-helper-js/issues/922 · Correção
• https://t.me/cveNotify/136683 · Publicação no Telegram
• https://t.me/CVEtracker/33524 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-3193 · Nota de Segurança
• https://t.me/cveNotify/137395 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1971805696602554581 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-529q-4j3p-7c5r · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-3193 · Aviso do Fabricante