CVE-2022-46175

Versões 1.0.1 e anteriores do json5

Versões 2.2.1 e anteriores do json5

O método parse da biblioteca json5 não restringe a análise de chaves denominadas proto, permitindo que strings especialmente criadas contaminem o protótipo do objeto resultante. Essa vulnerabilidade pode permitir que um invasor defina chaves arbitrárias e inesperadas no objeto retornado por JSON5.parse. O impacto real dependerá de como as aplicações utilizam o objeto retornado e de como filtram chaves indesejadas, mas pode incluir negação de serviço, cross-site scripting, elevação de privilégios e, em casos extremos, execução remota de código.

Para as versões 1.0.1 e anteriores do json5, atualize para a versão 1.0.2 ou posterior.

Para as versões 2.2.1 e anteriores do json5, atualize para a versão 2.2.2 ou posterior.

Como solução temporária, considere usar o método JSON.parse em vez de JSON5.parse para mitigar essa vulnerabilidade.

Restrinja o acesso ao método parse da biblioteca json5 para minimizar o risco de exploração.

Evite usar a chave proto no endpoint da API afetado até que o problema seja resolvido.