GHSA-cp6q-959q-f8rh

Średnie

Opublikowano: —Przetłumaczono: 22/10/2026(UTC)NVD NIST

Streszczenie

Publiczna funkcja pomocnicza mergeAttributes() w @tiptap/core używa zwykłego przypisania nawiasowego na kluczach zwracanych przez Object.entries(). Własny klucz __proto__ z JSON wywołuje w ten sposób odziedziczony setter prototypu na nowo utworzonym obiekcie, a funkcja zwraca obiekt, którego prototyp jest kontrolowany przez atakującego.

Ocena ryzyka

Może to prowadzić do zanieczyszczenia prototypu (prototype pollution), co potencjalnie umożliwia obejście zabezpieczeń lub wykonanie niezamierzonego kodu w aplikacji.

Rekomendacja

Zaktualizuj @tiptap/core do wersji zawierającej poprawkę i unikaj przekazywania niezaufanych danych do mergeAttributes().

Inne podatności w @tiptap/core

GHSA-j95f-988m-3j2fWysokie
@tiptap/core zawiera dwie ścieżki ataku typu quadratic regular-expression denial-of-service w domyślnych parserach atrybutów Markdown. Atrybuty blokowe w stylu Pandoc używają dwóch niezakotwiczonych wyrażeń zachłannych, które wielokrotnie skanują powtarzające się prefiksy __QUOTED_0. Atrybuty inline shortcode używają innego niezakotwiczonego wyrażenia, co może prowadzić do wyczerpania zasobów.

Oryginalny opis (angielski, źródło NVD)

## Summary `@tiptap/core`'s public `mergeAttributes()` helper uses ordinary bracket assignment on keys returned by `Object.entries()`. An own `__proto__` key from JSON therefore invokes the legacy prototype setter on the fresh merged object. The function returns an object whose prototype is attacke

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS