CVE-2026-8657
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność Prototype Pollution w bibliotece jsondiffpatch przed wersją 0.7.6 umożliwia atakującemu modyfikację prototypu Object.prototype poprzez dostarczenie spreparowanych dokumentów delta lub JSON Patch. Atak wykorzystuje brak ograniczeń dostępu do specjalnych właściwości, takich jak __proto__ czy constructor.prototype, podczas przetwarzania przez API jsondiffpatch.patch() i jsondiffpatch/formatters/jsonpatch.patch().
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu, eskalacji uprawnień lub naruszenia integralności danych, ponieważ atakujący może wstrzyknąć złośliwe właściwości do globalnego prototypu obiektów, wpływając na działanie całej aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację biblioteki jsondiffpatch do wersji 0.7.6 lub nowszej, która zawiera poprawkę eliminującą podatność. Należy również przejrzeć kod aplikacji pod kątem użycia podatnych API i rozważyć walidację danych wejściowych.
Oryginalny opis (angielski, źródło NVD)
Versions of the package jsondiffpatch before 0.7.6 are vulnerable to Prototype Pollution via the jsondiffpatch.patch() and jsondiffpatch/formatters/jsonpatch.patch() APIs. An attacker can perform prototype pollution by supplying crafted delta or JSON Patch documents, as attacker-controlled property names and path segments are used to traverse and modify objects without restricting access to special properties like __proto__ or constructor.prototype, allowing modification of Object.prototype.