Podatności Immutable.js
3 znanych podatności CVE w Immutable.js, przetłumaczonych i ocenionych.
- CVE-2026-29063Krytyczne
Biblioteka Immutable.js przed wersjami 3.8.3, 4.3.7 i 5.1.5 jest podatna na Prototype Pollution przez API mergeDeep(), mergeDeepWith(), merge(), Map.toJS() i Map.toObject().
- CVE-2026-59879Wysokie
W bibliotece Immutable.js w wersjach przed 4.3.9 i 5.1.8 wykryto podatność w funkcjach List#set, List#setSize, List#setIn, List#updateIn oraz w funkcjonalnych set, setIn i updateIn. Błędna obsługa indeksu lub rozmiaru w zakresie od 2^30 do 2^31 w metodzie setListBounds w pliku src/List.js może prowadzić do nieskończonej pętli, niekontrolowanego przydziału pamięci lub cichego zawijania dużych wartości.
- CVE-2026-59880Wysokie
W bibliotece Immutable.js przed wersjami 4.3.9 i 5.1.8 struktury danych Immutable.Map i Immutable.Set przechowują klucze o tym samym 32-bitowym skrócie w liniowo skanowanym zasobniku kolizji HashCollisionNode. Osoba atakująca kontrolująca klucze wstawiane do Mapy (np. przez Immutable.Map(obj), Immutable.fromJS(obj), state.merge(userObject) lub mergeDeep) może stworzyć wiele kolizyjnych kluczy, powodując degradację wydajności operacji wstawiania i wyszukiwania do nieproporcjonalnie wysokiego zużycia CPU.