Yumarun

**Nome do Software Vulnerável e Versões Afetadas** Velocity.js versões anteriores a 2.1.6 **Description** Um problema de poluição de protótipo (prototype pollution) ocorre durante o processamento de diretivas #set em modelos Velocity. Isso acontece porque o motor aceita chaves de caminho arbitrárias e realiza atribuições sem validar ou filtrar chaves sensíveis como ` proto `, `constructor` ou `prototype`. Se uma aplicação renderizar um modelo controlado por um atacante, é possível modificar o `Object.prototype`, o que pode levar a uma negação de serviço (DoS) ou ser encadeado para alcançar a execução remota de código (RCE), dependendo do ambiente do servidor. Poluição de protótipo é uma técnica onde um atacante manipula o protótipo de um objeto base para injetar propriedades em todos os objetos que herdam desse protótipo. **Recommendations** Atualize para uma versão posterior a 2.1.5. Como medida paliativa temporária, restrinja a capacidade de usuários não confiáveis de controlar ou influenciar o conteúdo de modelos Velocity. Evite usar a diretiva #set com entradas fornecidas pelo usuário até que o software seja atualizado.