#setbypath — Public Fediverse posts

Загрязненный — значит опасный: про уязвимость Prototype Pollution

Prototype Pollution ( CVE-2023-45811 , CVE-2023-38894 , CVE-2019-10744 ) — не новая брешь, вы уже наверняка читали про нее и на Хабре , и на PortSwigger , и даже в научных журналах , но есть нюанс. Несмотря на большое количество публикаций, некоторые популярные решения до сих пор остаются уязвимыми для нее. Очередной пациент — библиотека на TypeScript @clickbar/dot-diver . Уязвимость CVE-2023-45827 исправлена в версии 1.0.2 и выше, поэтому мы со спокойной душой расскажем, что могло произойти с вашим продуктом, но, к счастью, не произошло. Под катом читайте о том, как нужно было пользоваться библиотекой, чтобы точно столкнуться с уязвимостью Prototype Pollution. Мы, кстати, писали про нее в своем телеграм-канале POSIdev — там свежие новости про безопасную разработку, AppSec, а также регулярные обзоры трендовых угроз и наша любимая рубрика «Пятничные мемы»! Итак, поехали!

https://habr.com/ru/companies/pt/articles/782750/

#cve #github #объекты #prototype_pollution #прототип #библиотека_javascript #setByPath #sca #sast