CVE-2020-5258

WysokieCVSS 7.7

Opublikowano: 10/03/2020(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

4.02%

Percentyl 90 - wyżej niż 90% wszystkich znanych CVE

Streszczenie

W podatnych wersjach pakietu dojo (NPM) metoda deepCopy jest podatna na Prototype Pollution. Atakujący może wstrzykiwać właściwości do prototypów obiektów JavaScript, nadpisując lub zanieczyszczając prototyp obiektu bazowego aplikacji. Podatność została naprawiona w wersjach 1.12.8, 1.13.7, 1.14.6, 1.15.3 i 1.16.2.

Ocena ryzyka

Zanieczyszczenie prototypu może prowadzić do nieprzewidywalnego zachowania aplikacji, obejścia mechanizmów bezpieczeństwa, a w niektórych przypadkach do zdalnego wykonania kodu. Ryzyko dotyczy aplikacji wykorzystujących bibliotekę dojo do przetwarzania danych wejściowych.

Rekomendacja

Zaktualizuj bibliotekę dojo do wersji 1.12.8, 1.13.7, 1.14.6, 1.15.3 lub 1.16.2 (lub nowszej). Sprawdź, czy aplikacja nie przetwarza niezaufanych danych przez metodę deepCopy.

Inne podatności w dojo

CVE-2021-23450Wysokie
Wszystkie wersje pakietu dojo są podatne na zanieczyszczenie prototypu (Prototype Pollution) poprzez funkcję setObject.

Oryginalny opis (angielski, źródło NVD)

In affected versions of dojo (NPM package), the deepCopy method is vulnerable to Prototype Pollution. Prototype Pollution refers to the ability to inject properties into existing JavaScript language construct prototypes, such as objects. An attacker manipulates these attributes to overwrite, or pollute, a JavaScript application object prototype of the base object by injecting other values. This has been patched in versions 1.12.8, 1.13.7, 1.14.6, 1.15.3 and 1.16.2

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS