CVE-2024-52810
Açıklama
@intlify/shared, intlify projesi için paylaşılan bir kütüphanedir. @intlify/shared'ın son sürümü (10.0.4), lib.deepCopy giriş fonksiyonları aracılığıyla Prototype Pollution zafiyetine sahiptir. Bir saldırgan, küresel prototip zinciri içinde özellikler eklemek veya değiştirmek için Object.prototype setter içeren bir yük (payload) sağlayarak, minimum sonuç olarak hizmet reddine (DoS) neden olabilir. Ayrıca, bu zafiyetin sonuçları, kütüphanenin uygulama içerisine nasıl entegre edildiğine bağlı olarak diğer enjeksiyon tabanlı saldırılara dönüşebilir. Örneğin, kirletilen özelliğin hassas Node.js API'lerine (örneğin, exec, eval) yayılması durumunda, bir saldırganın uygulamanın bağlamında rastgele komutlar çalıştırmasına olanak tanıyabilir. Bu sorun 9.14.2 ve 10.0.5 sürümlerinde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- @intlify/shared9.14.2, 10.0.5 ya da sonraki bir sürüm
- @intlify/vue-i18n-core9.14.2, 10.0.5 ya da sonraki bir sürüm
- vue-i18n9.14.2, 10.0.5 ya da sonraki bir sürüm
- petite-vue-i18n10.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @intlify/sharednpm | 9.7.0 ≤ v < 9.14.2, 10.0.0 ≤ v < 10.0.5 | 9.14.2, 10.0.5 |
| @intlify/vue-i18n-corenpm | 9.7.0 ≤ v < 9.14.2, 10.0.0 ≤ v < 10.0.5 | 9.14.2, 10.0.5 |
| vue-i18nnpm | 9.7.0 ≤ v < 9.14.2, 10.0.0 ≤ v < 10.0.5 | 9.14.2, 10.0.5 |
| petite-vue-i18nnpm | 10.0.0 ≤ v < 10.0.5 | 10.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.