CVE-2023-36665
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 69 - wyżej niż 69% wszystkich znanych CVE
Streszczenie
Wersje protobuf.js (protobufjs) od 6.10.0 do 7.x przed 7.2.5 są podatne na zanieczyszczenie prototypu. Atakujący może wykorzystać kontrolowaną przez użytkownika wiadomość protobuf do modyfikacji prototypu Object.prototype, co prowadzi do dodawania i nadpisywania danych oraz funkcji.
Ocena ryzyka
Zanieczyszczenie prototypu może prowadzić do poważnych problemów z bezpieczeństwem aplikacji, umożliwiając atakującym manipulację danymi i funkcjami w kontekście aplikacji. Może to skutkować nieautoryzowanym dostępem lub wykonaniem złośliwego kodu.
Rekomendacja
Zaleca się aktualizację protobuf.js do wersji 7.2.5 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy unikać przetwarzania niezaufanych danych wejściowych w funkcjach związanych z protobuf.
Oryginalny opis (angielski, źródło NVD)
"protobuf.js (aka protobufjs) 6.10.0 through 7.x before 7.2.5 allows Prototype Pollution, a different vulnerability than CVE-2022-25878. A user-controlled protobuf message can be used by an attacker to pollute the prototype of Object.prototype by adding and overwriting its data and functions. Exploitation can involve: (1) using the function parse to parse protobuf messages on the fly, (2) loading .proto files by using load/loadSync functions, or (3) providing untrusted input to the functions ReflectionObject.setParsedOption and util.setProperty.