PT-2021-7298

CVE-2021-23450

Publicado

2021-12-17

Atualizado

2025-10-21

Descrição por

CVSS 2.0

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Todas as versões do dojo

Descrição

O problema está relacionado ao gerenciamento incorreto da geração de código na função setObject da biblioteca dojo. Isso pode permitir que um invasor remoto execute código arbitrário. A vulnerabilidade está associada à contaminação de protótipos (Prototype Pollution) por meio da função setObject.

Recomendações

Para todas as versões do dojo, considere desativar a função setObject como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à biblioteca dojo para minimizar o risco de exploração. Evite usar a função setObject em pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

CWE-1321: Improperly Controlled Modification of Object Prototype Attributes (\'Prototype Pollution\')

Identificadores relacionados

CVE-2021-23450

BDU:2022-05474

GHSA-M8GW-HJPR-RJV7