CVE-2026-107353

Nome do Software Vulnerável e Versões Afetadas traverse (npm) versões 0.3.6 a 0.3.9 traverse (npm) versões 0.4.0 a 0.4.6 traverse (npm) versões 0.5.0 a 0.5.2 traverse (npm) versões 0.6.0 a 0.6.11

Description A poluição de protótipo (prototype pollution) é possível através da função set(). Quando um caminho passado para set() atravessa um valor primitivo, o segmento de caminho seguinte é resolvido no protótipo integrado desse primitivo. Isso permite que um invasor adicione ou sobrescreva propriedades de String.prototype, Number.prototype ou Boolean.prototype fornecendo dados de caminho não confiáveis via JSON simples. O Object.prototype pode ser alcançado usando um segmento de caminho de não-dados, como um Proxy ou um objeto com um valor de retorno toString dinâmico.

Recommendations Atualizar versões 0.3.6 a 0.3.9 para 0.3.10. Atualizar versões 0.4.0 a 0.4.6 para 0.4.7. Atualizar versões 0.5.0 a 0.5.2 para 0.5.3. Atualizar versões 0.6.0 a 0.6.11 para 0.6.12. Como medida paliativa temporária, restrinja o uso de caminhos não confiáveis na função set().