CVE-2026-29063
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Biblioteka Immutable.js przed wersjami 3.8.3, 4.3.7 i 5.1.5 jest podatna na Prototype Pollution przez API mergeDeep(), mergeDeepWith(), merge(), Map.toJS() i Map.toObject().
Ocena ryzyka
Atakujący może manipulować prototypem obiektów, co może prowadzić do wykonania kodu w przeglądarce lub na serwerze Node.js.
Rekomendacja
Zaktualizuj Immutable.js do wersji 3.8.3, 4.3.7 lub 5.1.5.
Inne podatności w Immutable.js
Zobacz wszystkie- CVE-2026-59879Wysokie
W bibliotece Immutable.js w wersjach przed 4.3.9 i 5.1.8 wykryto podatność w funkcjach List#set, List#setSize, List#setIn, List#updateIn oraz w funkcjonalnych set, setIn i updateIn. Błędna obsługa indeksu lub rozmiaru w zakresie od 2^30 do 2^31 w metodzie setListBounds w pliku src/List.js może prowadzić do nieskończonej pętli, niekontrolowanego przydziału pamięci lub cichego zawijania dużych wartości.
- CVE-2026-59880Wysokie
W bibliotece Immutable.js przed wersjami 4.3.9 i 5.1.8 struktury danych Immutable.Map i Immutable.Set przechowują klucze o tym samym 32-bitowym skrócie w liniowo skanowanym zasobniku kolizji HashCollisionNode. Osoba atakująca kontrolująca klucze wstawiane do Mapy (np. przez Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject) lub mergeDeep) może stworzyć wiele kolizyjnych kluczy, powodując degradację wydajności operacji wstawiania i wyszukiwania do nieproporcjonalnie wysokiego zużycia CPU.
Oryginalny opis (angielski, źródło NVD)
Immutable.js provides many Persistent Immutable data structures. Prior to versions 3.8.3, 4.3.7, and 5.1.5, Prototype Pollution is possible in immutable via the mergeDeep(), mergeDeepWith(), merge(), Map.toJS(), and Map.toObject() APIs. This issue has been patched in versions 3.8.3, 4.3.7, and 5.1.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS