CVE-2026-25521
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W bibliotece Locutus (wersje od 2.0.12 do 2.0.38) wykryto podatność na zanieczyszczenie prototypu (prototype pollution). Mimo wcześniejszej łatki sprawdzającej zabronione klucze, atakujący może nadal manipulować Object.prototype poprzez specjalnie spreparowane dane wejściowe wykorzystujące String.prototype.
Ocena ryzyka
Ryzyko polega na możliwości modyfikacji globalnego prototypu obiektów JavaScript, co może prowadzić do nieoczekiwanego zachowania aplikacji, eskalacji uprawnień lub wykonania dowolnego kodu w kontekście przeglądarki lub serwera.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Locutus do wersji 2.0.39 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Locutus
Zobacz wszystkie- CVE-2026-32304Krytyczne
W bibliotece Locutus w wersji przed 3.0.14 funkcja create_function(args, code) przekazuje oba parametry bezpośrednio do konstruktora Function bez żadnej sanityzacji, co umożliwia zdalne wykonanie dowolnego kodu JavaScript. Podatność ta dotyczy gałęzi v3.x i różni się od wcześniejszej luki CVE-2026-29091.
- CVE-2026-29091Wysokie
W projekcie Locutus, który przenosi funkcje z innych języków programowania do JavaScriptu, odkryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy funkcji call_user_func_array i jej wrappera call_user_func, które nieprawidłowo walidują elementy tablicy callback przed przekazaniem ich do eval().
Oryginalny opis (angielski, źródło NVD)
Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. In versions from 2.0.12 to before 2.0.39, a prototype pollution vulnerability exists in locutus. Despite a previous fix that attempted to mitigate prototype pollution by checking whether user input contained a forbidden key, it is still possible to pollute Object.prototype via a crafted input using String.prototype. This issue has been patched in version 2.0.39.