Falhas do tipo CWE-1321

379 resultados

Poluição de Protótipo

Fraqueza que permite a um atacante modificar o protótipo de objetos JavaScript, afetando todas as instâncias presentes e futuras da aplicação. Ocorre quando código não valida ou filtra adequadamente dados que serão mesclados em objetos, permitindo injeção de propriedades maliciosas como '__proto__' ou 'constructor.prototype'.

Exemplo

Uma API REST que aceita JSON e faz merge direto em um objeto de configuração global (ex: `Object.assign(config, userInput)`) permite que um atacante envie {"__proto__.isAdmin": true} para ganhar privilégios em todos os usuários conectados.

Como mitigar

Valide e sanitize entradas antes de atribuições em objetos; use Object.create(null) para criar objetos sem protótipo; implemente blocklists explícitas para propriedades permitidas; considere bibliotecas especializadas em deep merge seguro (como lodash com opções de segurança).

CVE-2026-27524LOWOpenClaw < 2026.2.21 - Prototype Pollution via Debug Override PathEPSS 0.2%CVE-2026-53609CRITICALApostrophe has Server-Side Prototype Pollution in apos.util.set via patch operators that leads to process-wide authorization bypassEPSS 0.2%CVE-2026-44489LOWAxios: Proxy-Authorization Header Injection via Prototype Pollution — Incomplete Null-Prototype FixEPSS 0.2%CVE-2026-31865MEDIUMElysia Cookie Value Prototype PollutionEPSS 0.2%CVE-2026-77083MEDIUMn8n before 1.123.69 Code Node Sandbox Escape via Function.prototype PollutionEPSS 0.2%CVE-2026-41238MEDIUMDOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING FallbackEPSS 0.2%CVE-2026-4239MEDIUMLagom WHMCS Template Datatables prototype pollutionEPSS 0.2%CVE-2026-82257MEDIUMSvelteKit before 2.69.1 Prototype Pollution via File InputEPSS 0.2%CVE-2025-34146HIGHnyariv sandboxjs 0.8.23 Prototype Pollution Sandbox Escape DoSEPSS 0.2%CVE-2026-14893HIGHIBM Instana Observability is affected by multiple Prototype Pollution within Instana Agent container imageEPSS 0.2%CVE-2024-36578MEDIUMakbr update 1.0.0 is vulnerable to Prototype Pollution via update/index.js.EPSS 0.2%CVE-2026-71438LOWMermaid configuration APIs allow prototype pollutionEPSS 0.2%CVE-2026-53592MEDIUMFreeScout vulnerable to prototype pollution in getQueryParamEPSS 0.2%CVE-2026-23929HIGHPrototype pollution leading to stored XSSEPSS 0.2%CVE-2024-2495MEDIUMCryptographic key in plain text vulnerability in FriendlyElec's FriendlyWrtEPSS 0.2%CVE-2026-42077MEDIUMEvolver: Prototype Pollution via `Object.assign()` in mailbox store operationsEPSS 0.1%CVE-2025-58280HIGHVulnerability of exposing object heap addresses in the Ark eTS module. Impact: Successful exploitation of this vulnerability may affect avaiEPSS 0.1%CVE-2026-30785HIGHRustDesk Encrypts Local Passwords with World-Readable Machine ID and Fixed Zero Nonce (XSalsa20-Poly1305)EPSS 0.1%CVE-2026-61834MEDIUMscim-patch: Mutation of Inherited Built-in Method ObjectsEPSS —