Falhas do tipo CWE-1321

432 resultados

Poluição de Protótipo

Fraqueza que permite a um atacante modificar o protótipo de objetos JavaScript, afetando todas as instâncias presentes e futuras da aplicação. Ocorre quando código não valida ou filtra adequadamente dados que serão mesclados em objetos, permitindo injeção de propriedades maliciosas como '__proto__' ou 'constructor.prototype'.

Exemplo

Uma API REST que aceita JSON e faz merge direto em um objeto de configuração global (ex: `Object.assign(config, userInput)`) permite que um atacante envie {"__proto__.isAdmin": true} para ganhar privilégios em todos os usuários conectados.

Como mitigar

Valide e sanitize entradas antes de atribuições em objetos; use Object.create(null) para criar objetos sem protótipo; implemente blocklists explícitas para propriedades permitidas; considere bibliotecas especializadas em deep merge seguro (como lodash com opções de segurança).

CVE-2026-118248MEDIUMHighcharts Dashboards: editableOptions.propertyPath writes to Object.prototypeEPSS 0.3%CVE-2026-54306MEDIUMn8n: Prototype Pollution enables confused-deputy execution via public webhooksEPSS 0.3%CVE-2026-107353MEDIUMtraverse: set() can write to built-in prototypes via an untrusted pathEPSS 0.3%CVE-2026-33916MEDIUMHandlebars.js has Prototype Pollution Leading to XSS through Partial Template InjectionEPSS 0.3%CVE-2023-0163HIGHPrototype Pollution in convictEPSS 0.3%CVE-2026-56763MEDIUMHono - Prototype Pollution via __proto__ Key in parseBody with dot OptionEPSS 0.3%CVE-2026-48819MEDIUMHey API: `buildClientParams` template: prototype chain substitution via unknown `$<slot>___proto__` keyEPSS 0.3%CVE-2026-118649HIGHn8n before 2.43.5 and 2.44.1 Authorization Bypass via Crafted Workflow ID in Data TablesEPSS 0.3%CVE-2026-41238MEDIUMDOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING FallbackEPSS 0.3%CVE-2026-63402MEDIUMi18next: Shared built-in corruption through inherited-key deepExtend recursionEPSS 0.3%CVE-2026-44292MEDIUMprotobufjs: Prototype injection in generated message constructorsEPSS 0.3%CVE-2026-23929HIGHPrototype pollution leading to stored XSSEPSS 0.3%CVE-2026-118777MEDIUMForge: Prototype Pollution in forge.http cookie handling via a malicious Set-CookieEPSS 0.3%CVE-2026-103918MEDIUM@orpc/zod: Prototype injection in smart coercionEPSS 0.2%CVE-2026-27524LOWOpenClaw < 2026.2.21 - Prototype Pollution via Debug Override PathEPSS 0.2%CVE-2025-34146HIGHnyariv sandboxjs 0.8.23 Prototype Pollution Sandbox Escape DoSEPSS 0.2%CVE-2026-31865MEDIUMElysia Cookie Value Prototype PollutionEPSS 0.2%CVE-2026-44489LOWAxios: Proxy-Authorization Header Injection via Prototype Pollution — Incomplete Null-Prototype FixEPSS 0.2%CVE-2026-103036MEDIUM@orpc/json-schema: Prototype injection in smart coercionEPSS 0.2%CVE-2026-4239MEDIUMLagom WHMCS Template Datatables prototype pollutionEPSS 0.2%