Weaknesses of type CWE-1321

380 results

Poluição de Protótipo

É a capacidade de um atacante modificar o protótipo de objetos JavaScript (ou estruturas similares em outras linguagens), afetando todas as instâncias daquela classe. Isso ocorre quando o código não valida ou sanitiza chaves de entrada antes de atribuir propriedades a objetos, permitindo acesso a `__proto__`, `constructor.prototype` ou `prototype`. O risco é grave: dados sensíveis podem ser injetados globalmente, lógica de autenticação contornada, ou até código executado.

Example

Um servidor Node.js recebe um objeto JSON `{"name": "João", "__proto__": {"isAdmin": true}}` e o mescla ingenuamente em um objeto de usuário via `Object.assign(usuario, entrada)`. De repente, todos os novos objetos criados herdam `isAdmin: true`, elevando privilégios sem qualquer validação real.

How to mitigate

Nunca confie em chaves de entrada: valide e bloqueie explicitamente chaves perigosas como `__proto__`, `constructor`, `prototype` antes de atribuir. Use `Object.create(null)` para criar objetos sem protótipo herdado, ou bibliotecas seguras como `lodash.merge` com configurações defensivas. Em APIs REST, considere esquemas estritos (JSON Schema) que rejeitam propriedades inesperadas.

CVE-2024-34273MEDIUMnjwt up to v0.4.0 was discovered to contain a prototype pollution in the Parser.prototype.parse method.EPSS 0.5%CVE-2023-30857LOW@aedart/support possibly vulnerable to prototype pollution in metadata record, when using meta decoratorEPSS 0.5%CVE-2026-46681HIGH@nevware21/ts-utils: Prototype Pollution in objDeepCopy/objCopyProps via for...in without hasOwnPropertyEPSS 0.5%CVE-2026-70610MEDIUMElectron: contextBridge object copy honors prototype settersEPSS 0.5%CVE-2026-42232CRITICALn8n: XML Node Prototype Pollution to RCEEPSS 0.5%CVE-2025-63704CRITICALNPM package query-parser-string 1.0.0 is vulnerable to Prototype Pollution. The package does not properly sanitize user supplied query paramEPSS 0.5%CVE-2026-8161HIGHmultiparty vulnerable to Denial of Service via Prototype Pollution leading to Uncaught ExceptionEPSS 0.5%CVE-2025-70956HIGHA State Pollution vulnerability was discovered in the TON Virtual Machine (TVM) before v2025.04. The issue exists in the RUNVM instruction lEPSS 0.5%CVE-2024-57063HIGHA prototype pollution in the lib function of php-date-formatter v1.3.6 allows attackers to cause a Denial of Service (DoS) via supplying a cEPSS 0.5%CVE-2026-49252CRITICALdeepstream is vulnerable to prototype pollutionEPSS 0.5%CVE-2026-21854CRITICALTarkov Data Manager Authentication Bypass vulnerabilityEPSS 0.5%CVE-2026-45325HIGHGestor de Oferta: Prototype pollution in @tmlmobilidade/utils setValueAtPathEPSS 0.5%CVE-2026-54756MEDIUMJodit Editor: Prototype pollution via Jodit.configure() / ConfigMergeEPSS 0.5%CVE-2024-38997MEDIUMadolph_dudu ratio-swiper v0.0.2 was discovered to contain a prototype pollution via the function extendDefaults. This vulnerability allows aEPSS 0.5%CVE-2024-34698MEDIUMPrototype Pollution in getQueryParam Function (URL Query Parser)EPSS 0.5%CVE-2026-15702MEDIUMtamagui config.ts updateConfig prototype pollutionEPSS 0.5%CVE-2026-15195MEDIUMapidevtools json-schema-ref-parser pointer.ts Pointer.set prototype pollutionEPSS 0.5%CVE-2026-16008MEDIUMsagold json-schema-library propertyDependencies.ts parsePropertyDependencies prototype pollutionEPSS 0.5%CVE-2026-15698MEDIUMkofrasa mingo Update API updateMany prototype pollutionEPSS 0.5%CVE-2026-55388HIGHpiscina: Prototype Pollution Gadget → RCE via inherited options.filenameEPSS 0.5%