Wjm3

**Nome do Software Vulnerável e Versões Afetadas** TanStack devtools-vite versão 0.7.0 **Description** Um problema de injeção de comando de SO existe no componente Development Devtools Event Bus. O problema ocorre na função `installPackage()` localizada no arquivo `packages/devtools-bundler-core/src/package-manager.ts`. A manipulação do argumento `packageName` permite a execução de comandos arbitrários do sistema operacional. Este ataque requer acesso local e é caracterizado por alta complexidade e exploração difícil. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso da função `installPackage()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** jQWidgets versões anteriores a 24.0.2 **Description** Um ataque remoto pode causar a modificação inadequadamente controlada de atributos de protótipo de objeto, uma condição conhecida como prototype pollution. Este problema ocorre nas funções `JQXLite.extend`/`jqxBaseFramework.extend` localizadas no arquivo `jqwidgets/jqx-all.js`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso das funções `JQXLite.extend`/`jqxBaseFramework.extend` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** rexrainbow phaser3-rex-notes versões anteriores a 1.80.18 **Descrição** Um ataque remoto é possível através do componente BehaviorTree Blackboard Data Interface. Especificamente, a função `SetValue()` no arquivo `plugins/utils/object/SetValue.js` é suscetível a prototype pollution, onde a manipulação do argumento `key` permite a modificação inadequadamente controlada de atributos do protótipo do objeto. **Recomendações** Atualize o rexrainbow phaser3-rex-notes para a versão 1.80.18 ou posterior. Como mitigação temporária, restrinja o uso da função `SetValue()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** alibaba-fusion next versões anteriores a 1.27.35 **Description** Uma falha de poluição de protótipo (prototype pollution) existe no componente `deepMerge` dentro do arquivo `components/dialog/index.tsx`. Isso ocorre quando a função `ConfigProvider.getContextProps()` manipula incorretamente o argumento `locale`, permitindo que um invasor remoto modifique atributos do protótipo do objeto. **Recommendations** Atualize o alibaba-fusion next para a versão 1.27.35 ou posterior. Como medida de mitigação temporária, restrinja ou valide a entrada passada para o argumento `locale` na função `ConfigProvider.getContextProps()`.

**Nome do Software Vulnerável e Versões Afetadas** ractivejs ractive versões anteriores a 1.4.5 **Description** Uma fraqueza existe no componente Keypath Handler onde a função `Ractive#set()` permite a modificação inadequadamente controlada de atributos de protótipo de objeto, uma condição conhecida como prototype pollution. Este problema pode ser explorado remotamente. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.