CVE-2024-57075

Nome do Software Vulnerável e Versões Afetadas: eazy-logger versão 4.0.1

Descrição: Uma poluição de protótipo na função lib.Logger permite que atacantes causem uma Negação de Serviço (DoS) ao fornecer um payload manipulado. Isso pode ser conseguido introduzindo ou modificando propriedades dentro da cadeia de protótipos global, sendo a consequência mínima uma negação de serviço. As consequências deste problema podem escalar para outros ataques baseados em injeção, dependendo de como a biblioteca se integra na aplicação. Por exemplo, se a propriedade poluída se propagar para APIs sensíveis do Node.js, isso poderia permitir que um atacante executasse comandos arbitrários dentro do contexto da aplicação.

Recomendações: Como medida de contorno temporária, considere desabilitar a função lib.Logger até que uma correção esteja disponível. Restrinja o acesso ao setter do Object.prototype para minimizar o risco de exploração. Evite usar a função JSON.parse com entrada não confiável na função afetada lib.Logger até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.