PT-2026-66832 · Npm · Deep-Defaults

CVE-2026-54737 · Publicado 2026-07-31 · Atualizado 2026-07-31

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas @phun-ky/defaults-deep versões anteriores a 2.0.5

Descrição A poluição de protótipo ocorre quando a função defaultsDeep() mescla recursivamente objetos fornecidos pelo usuário sem filtrar nomes de propriedades inseguros. Um invasor pode fornecer entradas manipuladas para gravar propriedades no Object.prototype, o que afeta todos os objetos dentro do processo em execução. Isso pode levar a comportamentos inesperados, desvios de lógica ou negação de serviço. O problema envolve especificamente a falha em filtrar as propriedades proto, constructor e prototype.

Recomendações Atualize para a versão 2.0.5 ou posterior. Como medida paliativa temporária, sanitize as entradas não confiáveis rejeitando ou removendo os nomes de propriedades proto, constructor e prototype de todos os níveis de objetos controlados pelo usuário antes de passá-los para a função defaultsDeep().

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-54737

GHSA-MJ3G-7XCC-X4VH

Produtos afetados

Deep-Defaults

Referências · 7

• https://github.com/phun-ky/defaults-deep/commit/807dba930f8718f9126cad59d949b8fd3539b059 · Nota
• https://osv.dev/vulnerability/GHSA-mj3g-7xcc-x4vh · Aviso do Fabricante
• https://github.com/phun-ky/defaults-deep · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-54737 · Nota de Segurança
• https://github.com/phun-ky/defaults-deep/security/advisories/GHSA-mj3g-7xcc-x4vh · Nota
• https://github.com/phun-ky/defaults-deep/pull/49 · Nota
• https://github.com/phun-ky/defaults-deep/releases/tag/2.0.5 · Nota