Vulnerabilidad en content-security-policy-parser (CVE-2025-55164)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
12/08/2025
Última modificación:
20/08/2025
Descripción
content-security-policy-parser analiza las directivas de políticas de seguridad de contenido. Existe una vulnerabilidad de contaminación de prototipos en las versiones 0.5.0 y anteriores, donde si el nombre de una política se llama __proto__, se puede anular el prototipo del objeto. Este problema se ha corregido en la versión 0.6.0. Una solución alternativa consiste en deshabilitar el método de prototipo en NodeJS, neutralizando así todos los posibles ataques de contaminación de prototipos. Proporcione --disable-proto=delete (recomendado) o --disable-proto=throw como argumento a node para habilitar esta función.
Impacto
Puntuación base 4.0
8.80
Gravedad 4.0
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/helmetjs/content-security-policy-parser/commit/b13a52554f0168af393e3e38ed4a94e9e6aea9dc
- https://github.com/helmetjs/content-security-policy-parser/issues/11
- https://github.com/helmetjs/content-security-policy-parser/security/advisories/GHSA-w2cq-g8g3-gm83
- https://www.vicarius.io/vsociety/posts/cve-2025-55164-detect-node-csp-parser-vulnerability
- https://www.vicarius.io/vsociety/posts/cve-2025-55164-mitigate-csp-parser-vulnerability