CVE-2025-57349
Açıklama
JavaScript için Unicode MessageFormat 2 spesifikasyonunun bir uygulaması olan messageformat paketi, 2.3.0 öncesindeki sürümlerde mesaj anahtar yollarının uygun şekilde işlenmemesi nedeniyle prototype pollution zafiyetine sahiptir. Hata, özel karakterler (örneğin, __proto__) içeren iç içe geçmiş mesaj anahtarlarının işlenmesi sırasında ortaya çıkar ve bu durum JavaScript Object prototipinin istenmeyen şekilde değiştirilmesine yol açabilir. Bu zafiyet, uzak bir saldırganın özel olarak hazırlanmış mesaj girdileri aracılığıyla küresel nesne prototipine özellikler eklemesine izin verebilir; bu da etkilenen bileşeni kullanan uygulamalarda potansiyel olarak hizmet reddi veya diğer tanımlanmamış davranışlara neden olabilir.
Nasıl düzeltilir
- openjsf messageformat2.3.0 ya da sonraki bir sürüm
- messageformat3.0.0-beta.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openjsf messageformat | v < 2.3.0 | 2.3.0 |
| messageformatnpm | v < 3.0.0-beta.0 | 3.0.0-beta.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.