PT-2026-22841 · Unknown · Underscore.Js
Byamb4
·
Publicado
2026-03-03
·
Atualizado
2026-05-18
·
CVE-2026-27601
CVSS v4.0
8.2
Alta
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Underscore.js anteriores à 1.13.8
Descrição
O Underscore.js, uma biblioteca de utilitários JavaScript, contém um problema nas funções
.flatten e .isEqual. Essas funções utilizam recursão sem limite de profundidade, o que pode levar a um ataque de Negação de Serviço (DoS) por estouro de pilha. A exploração requer que um atacante forneça entradas não confiáveis que criem uma estrutura de dados recursiva, como o uso de JSON.parse sem limite de profundidade. Para .flatten, a vulnerabilidade pode ser explorada se a estrutura de dados consistir em arrays em todos os níveis e nenhum limite de profundidade finito for fornecido como argumento. Para .isEqual, a exploração requer a comparação de duas estruturas de dados distintas submetidas pelo mesmo cliente, por exemplo, dados armazenados em um banco de dados comparados a dados recém-submetidos ou analisar os mesmos dados duas vezes. As exceções resultantes do estouro de pilha não são tratadas.Recomendações
Atualize o Underscore.js para a versão 1.13.8 ou posterior.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Uncontrolled Recursion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Underscore.Js