CVE-2022-21824: fallo en NodeJS Node
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La función console.table() en Node.js tenía una vulnerabilidad donde entrada especialmente diseñada podría modificar el prototipo del objeto mediante contaminación de prototipos, aunque de forma limitada asignando strings vacías a claves numéricas. Esto podría afectar el comportamiento de los objetos en una aplicación.
CVE-2022-21824 explota el manejo inseguro de entrada controlada por el usuario en el parámetro 'properties' de console.table() cuando se combina con un objeto que contiene la propiedad '__proto__' como primer parámetro, permitiendo contaminación de prototipo con capacidad restringida (asignación de string vacío a claves numéricas del prototipo). Las versiones de Node.js >= 12.22.9, >= 14.18.3, >= 16.13.2 y >= 17.3.1 mitigan esto usando prototipos nulos para las asignaciones de propiedades afectadas.
En el mismo producto, de las más peligrosas a las menos.