PT-2026-1548 · Carbon · Carbon

CVE-2024-14020 · Publicado 2026-01-07 · Atualizado 2026-01-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas carboneio carbone versões anteriores a 3.5.6

Descrição Existe uma vulnerabilidade no carboneio carbone até a versão fbcd349077ad0e8748be73eab2a82ea92b6f8a7e. O problema reside no componente Formatter Handler, especificamente no arquivo lib/input.js e em uma função desconhecida. Uma manipulação pode levar à modificação com controle inadequado de atributos do protótipo do objeto. Este ataque pode ser lançado remotamente e é caracterizado por alta complexidade, com dificuldade de exploração. A exploração bem-sucedida só poderá ocorrer se a aplicação NodeJS pai apresentar o mesmo problema de segurança.

Recomendações Atualize para a versão 3.5.6 ou posterior.

Exploit

Correção

Code Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-94

CWE-1321

Identificadores relacionados

CVE-2024-14020

GHSA-6RCW-WW3X-XQWM

Produtos afetados

Carbon

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/14xxx/CVE-2024-14020.json · Exploit
• https://github.com/carboneio/carbone · Nota
• https://github.com/carboneio/carbone/releases/tag/3.5.6 · Correção
• https://github.com/carboneio/carbone/commit/04f9feb24bfca23567706392f9ad2c53bbe4134e · Correção
• https://t.me/CVEtracker/41551 · Publicação no Telegram
• https://vuldb.com/?id.339503 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-14020 · Nota de Segurança
• https://twitter.com/CVEnew/status/2008771288689729620 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-14020 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6rcw-ww3x-xqwm · Aviso do Fabricante
• https://vuldb.com/?ctiid.339503 · Nota