CVE-2026-122131

Nome do Software Vulnerável e Versões Afetadas Joi versões 17.13.6 até 17.13.8 Joi versões 18.2.5 até 18.3.0

Description Ocorre poluição de protótipo nas funções compile() e merge() em lib/messages.js porque o software não rejeita uma chave de idioma proto. Atacantes podem fornecer configurações de mensagem não confiáveis via any().messages(), prefs, opções de validação ou Joi.extend para substituir o protótipo de mensagens compiladas. Isso pode alterar ou quebrar a renderização de erros de validação e a lógica dependente. Se uma aplicação passar dados controlados por atacantes para configurações de mensagens personalizadas — como messages(), message(), prefs({ messages }), Joi.extend({ messages }) ou rule({ message }) — o atacante pode gravar propriedades no Object.prototype. Isso permite que todos os objetos no processo herdem essas propriedades, potencialmente fazendo com que a aplicação tome caminhos lógicos incorretos ao verificar a presença de uma propriedade.

Recommendations Atualizar Joi versões 17.13.6 até 17.13.8 para a versão 17.13.9. Atualizar Joi versões 18.2.5 até 18.3.0 para a versão 18.3.1. Evitar passar entradas não confiáveis para messages(), message(), prefs({ messages }), Joi.extend({ messages }) ou rule({ message }). Validar que a entrada não contenha as propriedades proto ou constructor.