CVE-2022-37257
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W bibliotece stealjs w wersji 2.2.4 wykryto podatność na zanieczyszczenie prototypu (prototype pollution) w funkcji convertLater w pliku npm-convert.js. Problem występuje przez zmienną requestedVersion, która może być manipulowana przez atakującego.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do modyfikacji prototypu obiektów JavaScript, co może prowadzić do wykonania dowolnego kodu lub eskalacji uprawnień w aplikacji używającej podatnej biblioteki.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę stealjs do najnowszej dostępnej wersji, która zawiera poprawkę tej podatności. Jeśli aktualizacja nie jest możliwa, należy ograniczyć zaufanie do danych wejściowych przekazywanych do funkcji convertLater.
Oryginalny opis (angielski, źródło NVD)
Prototype pollution vulnerability in function convertLater in npm-convert.js in stealjs steal 2.2.4 via the requestedVersion variable in npm-convert.js.