PT-2026-39322 · Unknown · Velocityjs

Yumarun · Publicado 2026-05-09 · Atualizado 2026-05-27 · CVE-2026-44966

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Velocity.js versões anteriores a 2.1.6

Descrição Um problema de poluição de protótipo (prototype pollution) existe durante o processamento de diretivas #set em templates. O mecanismo aceita chaves de caminho arbitrárias e realiza atribuições no arquivo /src/compile/set.ts usando a lógica (baseRef as Record<string, unknown>)[key] = val. Devido à falta de validação ou filtragem de chaves sensíveis como proto, constructor ou prototype, um invasor pode percorrer a cadeia de protótipos e poluir o Object.prototype global. Isso pode levar à Negação de Serviço (DoS) ou Execução Remota de Código (RCE), dependendo do ambiente do servidor.

Recomendações Atualize para uma versão posterior a 2.1.5.

Correção

DoS

RCE

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-44966

GHSA-J658-C2GF-X6PQ

Produtos afetados

Velocityjs

Referências · 7

• https://github.com/shepherdwind/velocity.js/security/advisories/GHSA-j658-c2gf-x6pq · Aviso do Fabricante
• https://github.com/shepherdwind/velocity.js · Nota
• https://osv.dev/vulnerability/GHSA-j658-c2gf-x6pq · Aviso do Fabricante
• https://t.me/CVEtracker/55034 · Publicação no Telegram
• https://twitter.com/UpwindMDR/status/2053336845803528368 · Publicação no Twitter
• https://twitter.com/dailycve/status/2052953589169922366 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44966 · Nota de Segurança