CVE-2026-54639

Nome do Software Vulnerável e Versões Afetadas Style Dictionary versões 4.3.0 até 5.4.3

Descrição O Style Dictionary contém um problema de poluição de protótipo (prototype pollution) na função convertTokenData(). A poluição de protótipo ocorre quando um invasor manipula a propriedade proto de um objeto JavaScript, potencialmente permitindo a injeção de propriedades no protótipo do objeto base e alterando o comportamento da aplicação. Este problema pode ser desencadeado pelo uso direto de convertTokenData(tokens, { output: 'object' });, uso indireto via Expand API ou através do ciclo de vida de transformação. O risco é maior quando integrado em uma aplicação de servidor NodeJS, moderado para aplicações Web e baixo quando o acesso aos tokens é restrito a fluxos de trabalho de repositório autorizados.

Recomendações Atualize para a versão 5.4.4. Como medida paliativa temporária, sanitize recursivamente os dados dos tokens para garantir que nenhuma chave de objeto contenha proto antes do processamento.