PT-2020-19778 · Json Ptr · Json-Ptr
CVE-2020-7766
·
Publicado
2020-11-10
·
Atualizado
2022-12-02
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do json-ptr anteriores à 2.1.0
Descrição
O problema ocorre na operação
set quando o sinalizador force está definido como true. A função define recursivamente a propriedade no objeto de destino, mas não verifica adequadamente a chave que está sendo definida, levando a uma contaminação de protótipo. Isso ocorre na operação set do pacote json-ptr.Recomendações
Para versões anteriores à 2.1.0, atualize para a versão 2.1.0 ou posterior para resolver o problema. Como solução temporária, considere desativar a operação
set quando o sinalizador force estiver definido como true até que um patch esteja disponível. Restrinja o acesso ao pacote json-ptr para minimizar o risco de exploração. Evite usar o sinalizador force na operação set até que o problema seja resolvido.Exploit
Correção
Prototype Pollution
Special Elements Injection
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Json-Ptr