Vulnerabilidad en la opción "includeInheritedProps: true", o la instancia predeterminada "withInheritedProps" en el método "set()" en "object-path" (CVE-2020-15256)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
19/10/2020
Última modificación:
18/11/2021
Descripción
Se ha encontrado una vulnerabilidad de contaminación de prototipo en "object-path" versiones anteriores a 0.11.4, incluyéndola afectando al método "set()". La vulnerabilidad es limitada al modo "includeInheritedProps" (si la versión posterior a 0.11.0 incluyéndola es usada), que debe habilitarse explícitamente mediante la creación de una nueva instancia de "object-path" y configurando la opción "includeInheritedProps: true", o usando la instancia predeterminada "withInheritedProps". El modo de funcionamiento predeterminado no está afectado por la vulnerabilidad si las versiones posteriores a 0.11.0 incluyéndola es usada. Cualquier uso de "set()" en versiones anteriores a 0.11.0 es vulnerable. El problema es corregido en la versión 0.11.5 de la ruta de objeto. Como solución alternativa, no use las opciones "includeInheritedProps: true" o la instancia "withInheritedProps" si usa una versión anterior a 0.11.0
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
6.80
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:object-path_project:object-path:*:*:*:*:*:node.js:*:* | 0.11.5 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página