CWE-1321

Biblioteka vm2 dla Node.js w wersjach od 3.9.6 do 3.10.5 umożliwia kod działający wewnątrz sandbox na modyfikację współdzielonych prototypów hosta (Object.prototype, Array.prototype, Function.prototype). Jest to podatność o maksymalnym wyniku CVSS 10.0, pozwalająca na przełamanie izolacji sandbox.

Biblioteka SandboxJS przed wersją 0.8.27 nie ogranicza prawidłowo dostępu do metody __lookupGetter__, co umożliwia uzyskanie dostępu do prototypów obiektów JavaScript i ucieczkę z izolowanego środowiska wykonawczego (sandbox escape). Podatność uzyskała maksymalny wynik CVSS 10.0 i może prowadzić do zdalnego wykonania kodu (RCE).

Wersje Spreecommerce Spree starsze niż 0.60.2 zawierają krytyczną podatność umożliwiającą zdalne wykonanie poleceń (RCE) w module wyszukiwania. Atakujący bez uwierzytelnienia może wykonać dowolne polecenia powłoki na serwerze docelowym.

W bibliotece RequireJS w wersji 2.3.6 odkryto podatność typu prototype pollution w funkcji s.contexts._.configure, umożliwiającą wykonanie dowolnego kodu lub wywołanie odmowy usługi. Podatność uzyskała maksymalny wynik CVSS 10.0, co czyni ją wyjątkowo krytyczną.

Biblioteka robinweser fast-loops w wersji 1.1.3 zawiera podatność typu prototype pollution w funkcji objectMergeDeep. Luka otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem umożliwiającym zdalne wykonanie kodu lub wywołanie odmowy usługi bez jakiegokolwiek uwierzytelnienia.

Biblioteka Feathers-Sequelize zawiera podatność w metodzie cleanQuery, która przy użyciu niebezpiecznej logiki rekurencyjnej umożliwia zdalne wykonanie kodu (RCE). Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla każdej aplikacji opartej na tym komponencie.

Parse Server w wersjach przed 4.10.7 zawiera krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) wynikającą z Prototype Pollution w pliku DatabaseController.js. Podatność jest szczególnie groźna, ponieważ dotyczy domyślnej konfiguracji serwera i nie wymaga uwierzytelnienia ani interakcji użytkownika.

Beaker Browser w wersjach przed 0.8.9 jest podatny na ucieczkę z piaskownicy (sandbox escape), umożliwiającą nieuprzywilejowanemu atakującemu uzyskanie dostępu do systemu i wykonanie dowolnego kodu. Podatność wynika z braku mechanizmu context isolation w Electron, co sprawia, że możliwy jest atak prototype-pollution na wewnętrzne API komunikacyjne Electron.

Wersje deepstream.io starsze niż 10.0.5 są podatne na Prototype Pollution, co może prowadzić do nieautoryzowanego podniesienia uprawnień. Podatność jest krytyczna, ponieważ może być wykorzystana przez dowolnego uwierzytelnionego użytkownika posiadającego uprawnienia zapisu do dowolnego rekordu.

Podatność w mechanizmie wykonywania planów zapytań w Apollo Federation gateway umożliwia zatrucie Object.prototype (prototype pollution). Ze względu na krytyczny poziom CVSS 9.9 i możliwość wykorzystania przez zdalnego, uwierzytelnionego klienta bez interakcji użytkownika, stanowi poważne zagrożenie dla środowisk korzystających z tego rozwiązania.

Podatność typu prototype pollution w Elastic Kibana pozwala uwierzytelnionym użytkownikom na zdalne wykonanie dowolnego kodu (RCE). Krytyczna waga podatności (CVSS 9.9) wynika z faktu, że w wersjach przed 8.17.1 do jej wykorzystania wystarczają uprawnienia roli Viewer.

Pakiet npm parse-ini w wersji 1.0.6 zawiera podatność Prototype Pollution w pliku index.js, umożliwiającą atakującemu manipulację prototypami obiektów JavaScript. Podatność uzyskała ocenę krytyczną CVSS 9.8, co oznacza poważne zagrożenie dla aplikacji korzystających z tego pakietu.

Pakiet NPM query-parser-string w wersji 1.0.0 jest podatny na atak Prototype Pollution. Brak odpowiedniej sanityzacji parametrów zapytania pozwala atakującemu na modyfikację prototypu obiektów JavaScript, co może prowadzić do poważnych konsekwencji w aplikacji.

Biblioteka Dchester Jsonpath w wersji 1.1.1 zawiera podatność typu Prototype Pollution w funkcji value() w pliku lib/index.js. Podatność posiada ocenę CVSS 9.8 (CRITICAL) i umożliwia zdalny atak bez uwierzytelnienia.

Tarkov Data Manager zawiera krytyczną podatność umożliwiającą ominięcie uwierzytelnienia w endpoincie logowania. Nieuwierzytelniony atakujący może uzyskać pełny dostęp administracyjny do panelu zarządzania danymi.

Podatność typu Prototype Pollution w funkcji util-deps.addFileDepend pakietu magix-combine-ex w wersjach do 1.2.10 włącznie umożliwia atakującemu wstrzyknięcie właściwości do Object.prototype. Minimalna konsekwencja to atak DoS, jednak ze względu na charakter tej klasy podatności rzeczywiste skutki mogą być poważniejsze.

Pakiet Node.js 'dagre-d3-es' w wersji 7.0.9 zawiera podatność typu prototype pollution w funkcji addConflict modułu 'bk', wynikającą z braku walidacji danych wejściowych przy przypisywaniu właściwości. Podatność umożliwia nieautoryzowaną modyfikację łańcucha prototypów JavaScript, co może prowadzić do odmowy usługi (DoS) lub wykonania arbitralnego kodu.

Biblioteka billboard.js przed wersją 3.15.1 zawiera podatność klasy prototype pollution w funkcji generate, która pozwala atakującemu na wykonanie dowolnego kodu lub wywołanie odmowy usługi (DoS). Podatność uzyskała ocenę CVSS 9.8 (CRITICAL) i nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.

Podatność typu Prototype Pollution w bibliotece Aliconnect SDK w wersji 0.0.6 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Krytyczny poziom CVSS 9.8 wynika z braku wymagań co do autoryzacji oraz możliwości pełnego przejęcia kontroli nad systemem.

Biblioteki depath v1.0.6 oraz cool-path v1.1.2 autorstwa janryWang zawierają podatność typu prototype pollution w metodzie set(). Podatność pozwala atakującemu na zdalne wykonanie kodu (RCE) lub wywołanie odmowy usługi (DoS) bez żadnego uwierzytelnienia.