PT-2026-21358 · Swiper · Swiper

Kevgeoleo + 2 · Publicado 2026-02-19 · Atualizado 2026-05-19 · CVE-2026-27212

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.4

Crítica

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Versões do Swiper de 6.5.1 a 12.1.1

Descrição O Swiper é um slider de toque gratuito e móvel com transições aceleradas por hardware e comportamento nativo. Existe um problema de poluição de protótipo no arquivo shared/utils.mjs, especificamente na linha 94, onde a função indexOf() é usada para validar entrada fornecida pelo usuário. Apesar de uma tentativa anterior de resolver a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o Object.prototype usando uma entrada elaborada que aproveita o Array.prototype. Este problema afeta sistemas Windows e Linux, bem como os runtimes Node e Bun. Aplicativos que processam entradas controladas por atacantes com este pacote podem ser suscetíveis a Bypass de Autenticação, Negação de Serviço e Execução Remota de Código (RCE).

Recomendações Atualize para a versão 12.1.2 para resolver este problema.

Exploit

Correção

DoS

RCE

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-27212

GHSA-HMX5-QPQ5-P643

Produtos afetados

Swiper

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27212.json · Exploit
• https://github.com/nolimits4web/swiper · Nota
• https://github.com/nolimits4web/swiper/security/advisories/GHSA-hmx5-qpq5-p643 · Aviso do Fabricante
• https://github.com/nolimits4web/swiper/commit/d3e663322a13043ca63aaba235d8cf3900e0c8cf · Correção
• https://github.com/nolimits4web/swiper/releases/tag/v12.1.2 · Nota
• https://t.me/cveNotify/152701 · Publicação no Telegram
• https://reddit.com/r/elementor/comments/1thi3p4/elementor_408_vulnerable_js_library_swiper_845 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-27212 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2025154183301595556 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27212 · Nota de Segurança
• https://twitter.com/Karma_X_Inc/status/2026181613982199839 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hmx5-qpq5-p643 · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/2026110670425530617 · Publicação no Twitter
• https://t.me/CVEtracker/45354 · Publicação no Telegram
• https://twitter.com/vuln_tracker/status/2026116439376326752 · Publicação no Twitter