PT-2022-23906

CVE-2022-37266

Publicado

2022-09-15

Atualizado

2022-09-19

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

stealjs steal versão 2.2.4

Descrição

O problema está relacionado a uma vulnerabilidade de contaminação de protótipos na função extend em babel.js, dentro do stealjs steal. Essa vulnerabilidade é explorada por meio da variável key em babel.js.

Recomendações

Para a versão 2.2.4, considere desativar a função extend em babel.js como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à variável key no babel.js afetado para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Explorabilidade

Exploit

Impactos

Pesquisadores

Secdevlpr26

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-1321: Improperly Controlled Modification of Object Prototype Attributes (\'Prototype Pollution\')

Identificadores relacionados

CVE-2022-37266