Fallos del tipo CWE-1321

439 resultados

Poluição de Protótipo

Ocorre quando um atacante modifica o protótipo de um objeto JavaScript (ou estrutura similar em outras linguagens), afetando todos os objetos criados a partir dele. Isso acontece quando código inseguro copia propriedades de entrada do usuário diretamente para objetos sem validação, permitindo que chaves como '__proto__' ou 'constructor.prototype' sejam manipuladas.

Ejemplo

Um servidor Node.js faz merge de um JSON enviado pelo cliente em um objeto global de configuração usando Object.assign(). Um atacante envia {"__proto__": {"isAdmin": true}} e, com isso, todos os novos objetos herdam isAdmin=true, contornando autenticação.

Cómo mitigar

Valide e sanitize chaves de entrada, bloqueando '__proto__', 'constructor' e 'prototype'. Use Object.create(null) para objetos sem herança ou operações seguras como Object.defineProperty(). Em frameworks modernos, prefira bibliotecas que já tratam isso (ex: deep-clone com whitelist de propriedades).

CVE-2026-116674MEDIUMsysteminformation: Prototype pollution in `networkStats()` via the interface nameEPSS 0.3%CVE-2026-106550HIGHCVE-2026-106550EPSS 0.3%CVE-2026-46510HIGHPrototype pollution in form-data-objectizer via bracket-notation form keysEPSS 0.3%CVE-2026-118248MEDIUMHighcharts Dashboards: editableOptions.propertyPath writes to Object.prototypeEPSS 0.3%CVE-2026-107353MEDIUMtraverse: set() can write to built-in prototypes via an untrusted pathEPSS 0.3%CVE-2026-54306MEDIUMn8n: Prototype Pollution enables confused-deputy execution via public webhooksEPSS 0.3%CVE-2026-33916MEDIUMHandlebars.js has Prototype Pollution Leading to XSS through Partial Template InjectionEPSS 0.3%CVE-2026-118777MEDIUMForge: Prototype Pollution in forge.http cookie handling via a malicious Set-CookieEPSS 0.3%CVE-2023-0163HIGHPrototype Pollution in convictEPSS 0.3%CVE-2026-56763MEDIUMHono - Prototype Pollution via __proto__ Key in parseBody with dot OptionEPSS 0.3%CVE-2026-48819MEDIUMHey API: `buildClientParams` template: prototype chain substitution via unknown `$<slot>___proto__` keyEPSS 0.3%CVE-2026-41238MEDIUMDOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING FallbackEPSS 0.3%CVE-2026-118649HIGHn8n before 2.43.5 and 2.44.1 Authorization Bypass via Crafted Workflow ID in Data TablesEPSS 0.3%CVE-2026-63402MEDIUMi18next: Shared built-in corruption through inherited-key deepExtend recursionEPSS 0.3%CVE-2026-44292MEDIUMprotobufjs: Prototype injection in generated message constructorsEPSS 0.3%CVE-2026-23929HIGHPrototype pollution leading to stored XSSEPSS 0.3%CVE-2026-27524LOWOpenClaw < 2026.2.21 - Prototype Pollution via Debug Override PathEPSS 0.3%CVE-2026-103918MEDIUM@orpc/zod: Prototype injection in smart coercionEPSS 0.2%CVE-2026-31865MEDIUMElysia Cookie Value Prototype PollutionEPSS 0.2%CVE-2025-34146HIGHnyariv sandboxjs 0.8.23 Prototype Pollution Sandbox Escape DoSEPSS 0.2%