CVE-2024-23339

취약점 개요

• CVE-2024-23339

• CVSS : 6.5

• Jan 23, 2024

• node.js 패키지의 프로토타입 오염(ProtoType Pollution)

• rebob 프로젝트의 일환

취약점 설명

github advisories

hoolock은 번들링 시 작은 크기를 유지하도록 설계된 경량 유틸리티 모음입니다. 버전 2.0.0부터 2.2.1 이전까지, 객체 경로와 관련된 유틸리티 함수(get, set, update)는 객체 프로토타입에 접근하거나 변경하려는 시도를 차단하지 않았습니다. 버전 2.2.1부터는 get, set, update 함수가 사용자가 상속된 속성에 접근하거나 변경하려고 시도할 때 TypeError를 발생시킵니다.

영향

객체 경로와 관련된 유틸리티 함수(get, set, update)는 객체 프로토타입에 접근하거나 변경하려는 시도를 차단하지 않았습니다.

*패치

버전 >=2.2.1에서는 get, set, update 함수가 사용자가 상속된 속성에 접근하거나 변경하려고 시도할 때 TypeError를 발생시킵니다.