PT-2025-49872 · Elysia · Elysia

Sportshead · Publicado 2025-12-09 · Atualizado 2025-12-17 · CVE-2025-66456

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Elysia de 1.4.0 a 1.4.16

Descrição O Elysia é um framework Typescript usado para validação de requisições, inferência de tipos, documentação OpenAPI e comunicação cliente-servidor. A função mergeDeep é suscetível a um problema de poluição de protótipo ao mesclar resultados de duas validações de schema padrão que compartilham a mesma chave. Isso ocorre devido à ordem de mesclagem, exigindo que um tipo 'any' seja definido como uma guarda independente para permitir a mesclagem da propriedade proto. Combinado com o GHSA-8vch-m3f4-q8jf, isso pode levar à execução remota de código (RCE). O componente vulnerável é a função mergeDeep. A propriedade proto está envolvida na exploração.

Recomendações Atualize para a versão 1.4.17 ou superior do Elysia. Como solução alternativa, remova a chave proto do corpo da requisição.

Exploit

Correção

RCE

Prototype Pollution

Code Injection

Enumeração de Fraquezas

CWE-1321

CWE-94

Identificadores relacionados

CVE-2025-66456

GHSA-8VCH-M3F4-Q8JF

GHSA-HXJ9-33PP-J2CC

Produtos afetados

Elysia

Referências · 20

• 🔥 https://github.com/elysiajs/elysia/security/advisories/GHSA-hxj9-33pp-j2cc · Exploit
• 🔥 https://github.com/elysiajs/elysia/security/advisories/GHSA-8vch-m3f4-q8jf · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66456.json · Exploit
• 🔥 https://github.com/sportshead/elysia-poc · Exploit
• https://github.com/elysiajs/elysia · Nota
• https://github.com/elysiajs/elysia/commit/26935bf76ebc43b4a43d48b173fc853de43bb51e · Correção
• https://github.com/elysiajs/elysia/commit/3af978663e437dccc6c1a2a3aff4b74e1574849e · Correção
• https://github.com/elysiajs/elysia/pull/1564 · Correção
• https://osv.dev/vulnerability/GHSA-hxj9-33pp-j2cc · Aviso do Fabricante
• https://t.me/cveNotify/146088 · Publicação no Telegram
• https://twitter.com/saltyAom/status/1998355677241364707 · Publicação no Twitter
• https://twitter.com/CheckmarxZero/status/1999122759775904037 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8vch-m3f4-q8jf · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-66456 · Nota de Segurança
• https://twitter.com/CVEnew/status/1998732822606131245 · Publicação no Twitter