Fallos del tipo CWE-1321

439 resultados

Poluição de Protótipo

Ocorre quando um atacante modifica o protótipo de um objeto JavaScript (ou estrutura similar em outras linguagens), afetando todos os objetos criados a partir dele. Isso acontece quando código inseguro copia propriedades de entrada do usuário diretamente para objetos sem validação, permitindo que chaves como '__proto__' ou 'constructor.prototype' sejam manipuladas.

Ejemplo

Um servidor Node.js faz merge de um JSON enviado pelo cliente em um objeto global de configuração usando Object.assign(). Um atacante envia {"__proto__": {"isAdmin": true}} e, com isso, todos os novos objetos herdam isAdmin=true, contornando autenticação.

Cómo mitigar

Valide e sanitize chaves de entrada, bloqueando '__proto__', 'constructor' e 'prototype'. Use Object.create(null) para objetos sem herança ou operações seguras como Object.defineProperty(). Em frameworks modernos, prefira bibliotecas que já tratam isso (ex: deep-clone com whitelist de propriedades).

CVE-2026-44489LOWAxios: Proxy-Authorization Header Injection via Prototype Pollution — Incomplete Null-Prototype FixEPSS 0.2%CVE-2026-103036MEDIUM@orpc/json-schema: Prototype injection in smart coercionEPSS 0.2%CVE-2026-4239MEDIUMLagom WHMCS Template Datatables prototype pollutionEPSS 0.2%CVE-2026-106127MEDIUMPrototype Pollution in Progress Software KendoReactEPSS 0.2%CVE-2026-106128MEDIUMPrototype Pollution in Progress Software Kendo UI for VueEPSS 0.2%CVE-2026-106144MEDIUMPrototype Pollution in Progress Software Kendo UI for AngularEPSS 0.2%CVE-2024-36578MEDIUMakbr update 1.0.0 is vulnerable to Prototype Pollution via update/index.js.EPSS 0.2%CVE-2026-104183MEDIUMstream-json: Prototype pollution: Assembler writes this.current[this.key] on plain objectsEPSS 0.2%CVE-2026-106160MEDIUMPrototype Pollution via Model.accept and kendo.setter in Kendo UI for jQueryEPSS 0.2%CVE-2024-2495MEDIUMCryptographic key in plain text vulnerability in FriendlyElec's FriendlyWrtEPSS 0.2%CVE-2026-115762MEDIUMdraw.io: Prototype pollution in GraphML (mxGraphMlCodec)EPSS 0.2%CVE-2026-42077MEDIUMEvolver: Prototype Pollution via `Object.assign()` in mailbox store operationsEPSS 0.2%CVE-2026-53592MEDIUMFreeScout vulnerable to prototype pollution in getQueryParamEPSS 0.1%CVE-2026-57439MEDIUMCyberChef: Prototype pollution in Series Chart operationEPSS 0.1%CVE-2025-58280HIGHVulnerability of exposing object heap addresses in the Ark eTS module. Impact: Successful exploitation of this vulnerability may affect avaiEPSS 0.1%CVE-2026-30785HIGHRustDesk Encrypts Local Passwords with World-Readable Machine ID and Fixed Zero Nonce (XSalsa20-Poly1305)EPSS 0.1%CVE-2026-123568LOWSveltejs devalue before 5.6.3 Prototype Pollution via uneval OutputEPSS —CVE-2026-123561MEDIUMSveltejs devalue before 5.9.3 __proto__ Rejection Bypass via Property-Key CoercionEPSS —CVE-2026-123567MEDIUMSveltejs devalue before 5.6.4 Prototype Injection via parse and unflattenEPSS —