Podatności jsondiffpatch

Biblioteka jsondiffpatch w wersji przed 0.7.7 zawiera lukę typu cross-site scripting (XSS), która pozwala atakującym wstrzyknąć znaczniki poprzez nieescapowany indeks docelowy operacji przeniesienia tablicy w delcie. Atakujący kontrolujący deltę przekazaną do formatters.html.format() lub formatters.annotated.format() może osadzić skrypt, który wykona się w origin aplikacji podczas renderowania wyniku.

Podatność Prototype Pollution w bibliotece jsondiffpatch przed wersją 0.7.6 umożliwia atakującemu modyfikację prototypu Object.prototype poprzez dostarczenie spreparowanych dokumentów delta lub JSON Patch. Atak wykorzystuje brak ograniczeń dostępu do specjalnych właściwości, takich jak __proto__ czy constructor.prototype, podczas przetwarzania przez API jsondiffpatch.patch() i jsondiffpatch/formatters/jsonpatch.patch().

Pakiety jsondiffpatch w wersjach przed 0.7.2 są podatne na Cross-site Scripting (XSS) poprzez HtmlFormatter::nodeBegin. Atakujący może wstrzyknąć złośliwe skrypty do ładunków HTML, co może prowadzić do wykonania kodu, jeśli niezaufane ładunki są używane jako źródło różnic, a wynik jest renderowany wbudowanym formaterem HTML na prywatnej stronie.