CVE-2025-57350
Təsvir
CSV məlumatlarını fərdiləşdirilmiş analiz imkanları ilə JSON formatına çevirmək üçün istifadə olunan csvtojson paketi, 2.0.10 versiyasından əvvəlki versiyalarda prototip çirklənməsi (prototype pollution) boşluğuna malikdir. Bu problem, parser_jsonarray komponentində analiz prosesi zamanı iç-içə olan başlıq adlarının kifayət qədər təmizlənməməsi səbəbindən yaranır. Prototip zəncirlərinə istinad edən (məsələn, __proto__ sintaksisindən istifadə etməklə) xüsusi hazırlanmış başlıq sahələri olan CSV girişini emal edərkən, tətbiq qeyri-ixtiyari şəkildə baza Object prototipinin xüsusiyyətlərini dəyişdirə bilər. Bu boşluq, xüsusilə etibarsız CSV məlumatları emal edildikdə, dəyişdirilməmiş prototip zəncirlərinə güvənən tətbiqlərdə xidmətdən imtina vəziyyətinə və ya gözlənilməz davranışlara səbəb ola bilər. Boşluğun istismarı üçün bədniyyətli şəkildə qurulmuş CSV faylının təqdim edilməsindən başqa heç bir istifadəçi qarşılıqlılığı tələb olunmur.
Necə düzəltmək olar
- keyangxiang csvtojson2.0.10 və ya daha yeni versiya
- csvtojson2.0.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| keyangxiang csvtojson | v < 2.0.10 | 2.0.10 |
| csvtojsonnpm | v < 2.0.13 | 2.0.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.