CVE-2025-64718
Açıklama
js-yaml bir JavaScript YAML ayrıştırıcısı ve dökümcüsüdür. js-yaml 4.1.1 ve 3.14.2 sürümlerinden öncekilerde, bir saldırganın prototip kirliliği (`__proto__`) yoluyla ayrıştırılmış bir yaml belgesi sonucunun prototipini değiştirmesi mümkündür. Güvenilmeyen yaml belgelerini ayrıştıran tüm kullanıcılar bundan etkilenebilir. Sorun js-yaml 4.1.1 ve 3.14.2 sürümlerinde giderilmiştir. Kullanıcılar sunucuda bu tür bir saldırıya karşı `node --disable-proto=delete` veya `deno` kullanarak korunabilirler (Deno'da kirlilik koruması varsayılan olarak açıktır).
Nasıl düzeltilir
- nodeca js-yaml3.14.2, 4.1.1 ya da sonraki bir sürüm
- js-yaml4.1.1, 3.14.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodeca js-yaml | v < 3.14.2, 4.0.0 ≤ v < 4.1.1 | 3.14.2, 4.1.1 |
| js-yamlnpm | 4.0.0 ≤ v < 4.1.1, v < 3.14.2 | 4.1.1, 3.14.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.