CVE-2026-34221
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
MikroORM przed wersjami 6.6.10 i 7.0.6 zawiera podatność na zanieczyszczenie prototypu w funkcji pomocniczej Utils.merge używanej wewnętrznie podczas scalania struktur obiektów. Funkcja nie zapobiega użyciu specjalnych kluczy, takich jak __proto__, constructor czy prototype, co pozwala na modyfikację prototypu obiektu JavaScript przez kontrolowane przez atakującego dane wejściowe.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe właściwości do prototypu obiektów, co może prowadzić do eskalacji uprawnień, wykonania kodu lub innych ataków w aplikacjach korzystających z MikroORM.
Rekomendacja
Zaktualizuj MikroORM do wersji 6.6.10 lub 7.0.6 (lub nowszej). Sprawdź, czy aplikacja nie przetwarza niezaufanych danych wejściowych w operacjach scalania.
Oryginalny opis (angielski, źródło NVD)
MikroORM is a TypeScript ORM for Node.js based on Data Mapper, Unit of Work and Identity Map patterns. Prior to versions 6.6.10 and 7.0.6, a prototype pollution vulnerability exists in the Utils.merge helper used internally by MikroORM when merging object structures. The function did not prevent special keys such as __proto__, constructor, or prototype, allowing attacker-controlled input to modify the JavaScript object prototype when merged. This issue has been patched in versions 6.6.10 and 7.0.6.