Alta

Prototype Pollution in hoek

Publicada: 26.04.2018
Actualizado: 11.10.2026 10:22

Versions of hoek prior to 4.2.1 and 5.0.3 are vulnerable to prototype pollution.

The merge function, and the applyToDefaults and applyToDefaultsWithShallow functions which leverage merge behind the scenes, are vulnerable to a prototype pollution attack when provided an unvalidated payload created from a JSON string containing the __proto__ property.

This can be demonstrated like so:

var Hoek = require('hoek');
var malicious_payload = '{"__proto__":{"oops":"It works !"}}';

var a = {};
console.log("Before : " + a.oops);
Hoek.merge({}, JSON.parse(malicious_payload));
console.log("After : " + a.oops);

This type of attack can be used to overwrite existing properties causing a potential denial of service.

Recommendation

Update to version 4.2.1, 5.0.3 or later.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	hoek	>= 5.0.0, < 5.0.3, < 4.2.1	5.0.3, 4.2.1

Referencias

Puntuación CVSS 8.8/10

Vector CVSS: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE): CWE-1321
Plataforma: npm
Paquete: hoek
Publicada: 26.04.2018
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jp4x-w63m-7wgm - CC BY 4.0

Historial de vulnerabilidades: hoek

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 04.2018 09.2022
Sin corrección: 1
Explotada en ataques: 0

Distribución por gravedad

Alta 2

Divulgaciones por año

2018: 1
2019: 0
2020: 0
2021: 0
2022: 1
2023: 0
2024: 0
2025: 0
2026: 0

25.09.2022

hoek subject to prototype pollution via the clone function.

Alta · 8.1 CVE-2020-36604 <= 6.1.3 sin corrección
26.04.2018

Prototype Pollution in hoek esta entrada

Alta · 8.8 CVE-2018-3728 >= 5.0.0, < 5.0.3, < 4.2.1 5.0.3, 4.2.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación