Vdata1

O Swiper é um slider de toque gratuito e móvel com transições aceleradas por hardware e comportamento nativo. Existe um problema de poluição de protótipo no arquivo `shared/utils.mjs`, especificamente na linha 94, onde a função `indexOf()` é usada para validar entrada fornecida pelo usuário. Apesar de uma tentativa anterior de resolver a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o `Object.prototype` usando uma entrada elaborada que aproveita o `Array.prototype`. Este problema afeta sistemas Windows e Linux, bem como os runtimes Node e Bun. Aplicativos que processam entradas controladas por atacantes com este pacote podem ser suscetíveis a Bypass de Autenticação, Negação de Serviço e Execução Remota de Código (RCE).

O set-in é um pacote Node.js que define valores em estruturas associativas aninhadas com base em um array de chaves. Existe uma falha em que, apesar de uma tentativa anterior de impedir a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o `Object.prototype` usando uma entrada elaborada que aproveita o `Array.prototype`. O problema está na função `includes()` usada para validar a entrada do usuário. Uma prova de conceito demonstra contornar a proteção pretendida ao redefinir `Array.prototype.includes` para sempre retornar falso, permitindo a injeção de uma propriedade chamada `polluted` no `Object.prototype`. Isso pode potencialmente levar a bypass de autenticação, negação de serviço ou execução remota de código caso a propriedade poluída seja passada para pontos vulneráveis.

O Locutus, projetado para trazer bibliotecas padrão de outras linguagens de programação para JavaScript para fins educacionais, contém uma vulnerabilidade de poluição de protótipo. Uma tentativa anterior de corrigir a poluição de protótipo verificando chaves proibidas na entrada do usuário foi insuficiente. Ainda é possível poluir `Object.prototype` por meio de uma entrada manipulada que utiliza `String.prototype`. Isso permite a injeção de propriedades maliciosas, podendo levar a um comprometimento adicional.

Existe uma vulnerabilidade de poluição de protótipo no pacote npm deephas. Isso permite que um atacante modifique o comportamento de objetos globais injetando propriedades em Object.prototype. O problema reside nas funções `add()` e `indexer()` dentro de `deepHas.js`. A vulnerabilidade pode ser contornada mediante a manipulação de `Object.prototype.hasOwnProperty` ou `String.prototype.indexOf`. A exploração pode levar ao contorno de autenticação, negação de serviço e, potencialmente, execução remota de código, se propriedades poluídas forem passadas para sinks vulneráveis.

O Deno é um ambiente de execução para JavaScript, TypeScript e WebAssembly. Uma falha no polyfill `node:crypto` permite que manipuladores criptográficos persistam além do seu ciclo de vida previsto. Isso resulta na possibilidade de rodadas de criptografia infinitas, potencialmente permitindo que atacantes tentem ataques de força bruta ou obtenham segredos do servidor. O problema decorre do módulo `node:crypto` não finalizar as cifras corretamente.

A biblioteca isolated-vm para Node.js apresenta falhas na API que podem expor isolados supostamente seguros às permissões do isolado principal do Node.js. Objetos `Reference` permitem acesso à cadeia de protótipos completa da referência subjacente, possibilitando que invasores obtenham uma `Reference` para o objeto `Function` do contexto do Node.js. Ataques semelhantes poderiam ocorrer através da modificação do protótipo local de outros objetos da API. O acesso a objetos `NativeModule` poderia permitir que um invasor carregasse e executasse código nativo de qualquer local do sistema de arquivos, levando potencialmente à execução de código arbitrário se combinado com uma API de upload de arquivos.