CVE-2026-26021

Nome do Software Vulnerável e Versões Afetadas set-in versões 2.0.1 a 2.0.4

Descrição O set-in é um pacote Node.js que define valores em estruturas associativas aninhadas com base em um array de chaves. Existe uma falha em que, apesar de uma tentativa anterior de impedir a poluição de protótipo ao verificar chaves proibidas, ainda é possível poluir o Object.prototype usando uma entrada elaborada que aproveita o Array.prototype. O problema está na função includes() usada para validar a entrada do usuário. Uma prova de conceito demonstra contornar a proteção pretendida ao redefinir Array.prototype.includes para sempre retornar falso, permitindo a injeção de uma propriedade chamada polluted no Object.prototype. Isso pode potencialmente levar a bypass de autenticação, negação de serviço ou execução remota de código caso a propriedade poluída seja passada para pontos vulneráveis.

Recomendações As versões 2.0.1 a 2.0.4 do set-in devem ser atualizadas para a versão 2.0.5.