CVE-2026-107701

WysokieCVSS 8.2

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Streszczenie

Podatność na zanieczyszczenie prototypu (prototype pollution) w bibliotece dot-access do wersji 1.0.0. Atakujący kontrolujący ścieżkę (np. przez nazwy pól od użytkownika) może użyć segmentów __proto__, aby wstrzyknąć właściwości do wszystkich obiektów.

Ocena ryzyka

Może to zmienić flagi autoryzacji, domyślne opcje lub doprowadzić do awarii procesu, co wpływa na bezpieczeństwo i stabilność aplikacji.

Rekomendacja

Zaktualizuj bibliotekę dot-access do najnowszej wersji, jeśli dostępna jest poprawka. Unikaj przekazywania niezaufanych ścieżek do funkcji set().

Inne podatności w dot-access

CVE-2026-107700Krytyczne
Biblioteka dot-access w wersjach 0.0.3 do 1.0.0 zawiera podatność na wstrzyknięcie kodu JavaScript. Ścieżka przekazywana do metody get() jest konkatenowana do ciała nowej funkcji w index.js, co pozwala atakującemu na dostęp do constructor.constructor i załadowanie child_process w celu wykonania poleceń systemu operacyjnego w procesie Node.js.

Oryginalny opis (angielski, źródło NVD)

dot-access through 1.0.0 contains a prototype pollution vulnerability that allows attackers to modify Object.prototype by supplying a crafted dotted path to set(). Attackers controlling the path, such as through user-supplied field names, can use __proto__ segments to inject properties into all objects, altering authorization flags and option defaults or crashing the process.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS