Podatności Locutus
3 znanych podatności CVE w Locutus, przetłumaczonych i ocenionych.
- CVE-2026-32304Krytyczne
W bibliotece Locutus w wersji przed 3.0.14 funkcja create_function(args, code) przekazuje oba parametry bezpośrednio do konstruktora Function bez żadnej sanityzacji, co umożliwia zdalne wykonanie dowolnego kodu JavaScript. Podatność ta dotyczy gałęzi v3.x i różni się od wcześniejszej luki CVE-2026-29091.
- CVE-2026-29091Wysokie
W projekcie Locutus, który przenosi funkcje z innych języków programowania do JavaScriptu, odkryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy funkcji call_user_func_array i jej wrappera call_user_func, które nieprawidłowo walidują elementy tablicy callback przed przekazaniem ich do eval().
- CVE-2026-25521Wysokie
W bibliotece Locutus (wersje od 2.0.12 do 2.0.38) wykryto podatność na zanieczyszczenie prototypu (prototype pollution). Mimo wcześniejszej łatki sprawdzającej zabronione klucze, atakujący może nadal manipulować Object.prototype poprzez specjalnie spreparowane dane wejściowe wykorzystujące String.prototype.