Kevgeoleo

O Swiper é um slider de toque gratuito e móvel com transições aceleradas por hardware e comportamento nativo. Existe um problema de poluição de protótipo no arquivo `shared/utils.mjs`, especificamente na linha 94, onde a função `indexOf()` é usada para validar entrada fornecida pelo usuário. Apesar de uma tentativa anterior de resolver a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o `Object.prototype` usando uma entrada elaborada que aproveita o `Array.prototype`. Este problema afeta sistemas Windows e Linux, bem como os runtimes Node e Bun. Aplicativos que processam entradas controladas por atacantes com este pacote podem ser suscetíveis a Bypass de Autenticação, Negação de Serviço e Execução Remota de Código (RCE).

O set-in é um pacote Node.js que define valores em estruturas associativas aninhadas com base em um array de chaves. Existe uma falha em que, apesar de uma tentativa anterior de impedir a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o `Object.prototype` usando uma entrada elaborada que aproveita o `Array.prototype`. O problema está na função `includes()` usada para validar a entrada do usuário. Uma prova de conceito demonstra contornar a proteção pretendida ao redefinir `Array.prototype.includes` para sempre retornar falso, permitindo a injeção de uma propriedade chamada `polluted` no `Object.prototype`. Isso pode potencialmente levar a bypass de autenticação, negação de serviço ou execução remota de código caso a propriedade poluída seja passada para pontos vulneráveis.

O Locutus, projetado para trazer bibliotecas padrão de outras linguagens de programação para JavaScript para fins educacionais, contém uma vulnerabilidade de poluição de protótipo. Uma tentativa anterior de corrigir a poluição de protótipo verificando chaves proibidas na entrada do usuário foi insuficiente. Ainda é possível poluir `Object.prototype` por meio de uma entrada manipulada que utiliza `String.prototype`. Isso permite a injeção de propriedades maliciosas, podendo levar a um comprometimento adicional.

Existe uma vulnerabilidade de poluição de protótipo no pacote npm deephas. Isso permite que um atacante modifique o comportamento de objetos globais injetando propriedades em Object.prototype. O problema reside nas funções `add()` e `indexer()` dentro de `deepHas.js`. A vulnerabilidade pode ser contornada mediante a manipulação de `Object.prototype.hasOwnProperty` ou `String.prototype.indexOf`. A exploração pode levar ao contorno de autenticação, negação de serviço e, potencialmente, execução remota de código, se propriedades poluídas forem passadas para sinks vulneráveis.