CVE-2025-27597
Açıklama
Vue I18n, Vue.js için uluslararasılaştırma eklentisidir. @intlify/message-resolver ve @intlify/vue-i18n-core, handleFlatJson giriş fonksiyonu üzerinden Prototype Pollution zafiyetine sahiptir. Bir saldırgan, küresel prototip zinciri içinde özellikleri eklemek veya değiştirmek için Object.prototype setter içeren bir yük (payload) sağlayarak, minimum sonuç olarak hizmet reddine (DoS) neden olabilir. Ayrıca, bu zafiyetin sonuçları, kütüphanenin uygulama ile nasıl entegre olduğuna bağlı olarak diğer enjeksiyon tabanlı saldırılara dönüşebilir. Örneğin, kirletilen özellik hassas Node.js API'lerine (örneğin, exec, eval) yayılırsa, bir saldırganın uygulamanın bağlamında rastgele komutlar çalıştırmasına olanak tanıyabilir.
Nasıl düzeltilir
- @intlify/message-resolver9.1.11 ya da sonraki bir sürüm
- @intlify/vue-i18n-core9.14.3, 10.0.6, 11.1.2 ya da sonraki bir sürüm
- petite-vue-i18n10.0.6, 11.1.2 ya da sonraki bir sürüm
- vue-i18n9.14.3, 10.0.6, 11.1.2 ya da sonraki bir sürüm
- @intlify/core-base9.1.11 ya da sonraki bir sürüm
- @intlify/core9.1.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @intlify/message-resolvernpm | 9.1.0 ≤ v < 9.1.11 | 9.1.11 |
| @intlify/vue-i18n-corenpm | 9.2.0 ≤ v < 9.14.3, 10.0.0-alpha.1 ≤ v < 10.0.6, 11.0.0-beta.0 ≤ v < 11.1.2 | 9.14.3, 10.0.6, 11.1.2 |
| petite-vue-i18nnpm | 10.0.0 ≤ v < 10.0.6, 11.0.0-beta.0 ≤ v < 11.1.2 | 10.0.6, 11.1.2 |
| vue-i18nnpm | 9.1.0 ≤ v < 9.14.3, 10.0.0-alpha.1 ≤ v < 10.0.6, 11.0.0-beta.0 ≤ v < 11.1.2 | 9.14.3, 10.0.6, 11.1.2 |
| @intlify/core-basenpm | 9.1.0 ≤ v < 9.1.11 | 9.1.11 |
| @intlify/corenpm | 9.1.0 ≤ v < 9.1.11 | 9.1.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.