Vulnerabilidad en Vue I18n (CVE-2025-27597)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
07/03/2025
Última modificación:
07/03/2025
Descripción
Vue I18n es el complemento de internacionalización para Vue.js. @intlify/message-resolver y @intlify/vue-i18n-core son vulnerables a la contaminación de prototipos a través de la función de entrada: handleFlatJson. Un atacante puede proporcionar un payload con el definidor Object.prototype para introducir o modificar propiedades dentro de la cadena de prototipos global, lo que provoca una denegación de servicio (DoS) como consecuencia mínima. Además, las consecuencias de esta vulnerabilidad pueden escalar a otros ataques basados en inyección, según cómo se integre la biblioteca dentro de la aplicación. Por ejemplo, si la propiedad contaminada se propaga a las API de Node.js sensibles (por ejemplo, exec, eval), podría permitir que un atacante ejecute comandos arbitrarios dentro del contexto de la aplicación.