Yuhan Gao

O pacote contém uma vulnerabilidade de Prototype Pollution na função ` merge()` dentro do arquivo `merge.js`. Isso permite a modificação do `constructor.prototype`, podendo levar à execução de código caso erros sejam capturados e parâmetros de pesquisa fornecidos pelo usuário sejam injetados. Este é um problema distinto de outro problema relatado. A vulnerabilidade não é explorável na configuração padrão do InstantSearch, pois os parâmetros de pesquisa não são modificáveis pelo usuário.

The issue arises from improper input sanitization in the `setProperty()` function, allowing the usage of arguments like ` proto ` and leading to Prototype Pollution. This can be exploited due to the lack of proper input validation.

The issue concerns Prototype Pollution via the `nest()` function in the `flatnest/nest.js` file. This affects all versions of the package flatnest.

The issue concerns Prototype Pollution via the `extend()` function in the `utils.js` file. This affects the progressbar.js package.

The issue is related to Prototype Pollution due to insufficient checks. It can be exploited via the `set()` function and the `current` variable in the `/dottie.js` file.

The issue concerns Prototype Pollution via the `extend` function in `Collection.js/dist/node/iterators/extend.js`. This affects versions of the package collection.js before 6.8.1.

The issue concerns Prototype Pollution via the `set()` function in the `index.js` file. This affects all versions of the dot-lens package. There is no information provided about the estimated number of potentially affected devices worldwide or details about real-world incidents where this issue was exploited.

The issue concerns Prototype Pollution via the ` mix` function. This affects all versions of the package utilities. There is no information provided about the estimated number of potentially affected devices worldwide or details about real-world incidents where this issue was exploited.

The issue concerns Prototype Pollution in the rangy package. It occurs when using the `extend()` function in the file `rangy-core.js`, which utilizes a recursive merge. This can allow an attacker to modify properties of the `Object.prototype`.

A vulnerabilidade permite que um invasor adicione ou modifique propriedades do Object.prototype por meio de contaminação de protótipo ao usar a função safeEval. Isso ocorre devido ao uso da variável vm pela função, permitindo que um invasor modifique propriedades do Object.prototype.

A vulnerabilidade permite a alteração de todos os atributos do objeto, incluindo atributos mágicos como `proto`, `constructor` e `prototype`, levando à poluição de protótipos.