CVE-2021-28860
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
W bibliotece Node.js mixme przed wersją 0.5.1, atakujący może dodawać lub zmieniać właściwości obiektu za pomocą '__proto__' poprzez funkcje mutate() i merge(). Zanieczyszczony atrybut zostanie bezpośrednio przypisany do każdego obiektu w programie.
Ocena ryzyka
Ryzyko polega na potencjalnym zakłóceniu działania aplikacji poprzez zanieczyszczenie prototypu, co może prowadzić do odmowy usługi (DoS) i naruszenia integralności danych.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę mixme do wersji 0.5.1 lub nowszej, która zawiera poprawkę eliminującą podatność na ataki przez '__proto__'.
Oryginalny opis (angielski, źródło NVD)
In Node.js mixme, prior to v0.5.1, an attacker can add or alter properties of an object via '__proto__' through the mutate() and merge() functions. The polluted attribute will be directly assigned to every object in the program. This will put the availability of the program at risk causing a potential denial of service (DoS).