Wysoka

Prototype Pollution Protection Bypass in qs

Ujawniono: 30.04.2020
Aktualizacja: 11.10.2026 10:22

Affected version of qs are vulnerable to Prototype Pollution because it is possible to bypass the protection. The qs.parse function fails to properly prevent an object's prototype to be altered when parsing arbitrary input. Input containing [ or ] may bypass the prototype pollution protection and alter the Object prototype. This allows attackers to override properties that will exist in all objects, which may lead to Denial of Service or Remote Code Execution in specific circumstances.

Recommendation

Upgrade to 6.0.4, 6.1.2, 6.2.3, 6.3.2 or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	qs	< 6.0.4, >= 6.1.0, < 6.1.2, >= 6.2.0, < 6.2.3, >= 6.3.0, < 6.3.2	6.0.4, 6.1.2, 6.2.3, 6.3.2

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-20
Platforma: npm
Paczka: qs
Ujawniono: 30.04.2020
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-gqgv-6jq5-jjj9 - CC BY 4.0

Historia podatności: qs

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (9) w archiwum

Wszystkich wpisów: 9
Pierwsza → ostatnia: 10.2017 09.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 4
Średnia 4
Niska 1

Ujawnienia w latach

2017: 1
2018: 1
2019: 0
2020: 1
2021: 0
2022: 1
2023: 0
2024: 0
2025: 1
2026: 4

27.11.2022

qs vulnerable to Prototype Pollution

Wysoka · 7.5 CVE-2022-24999 >= 6.10.0, < 6.10.3, >= 6.9.0, < 6.9.7, >= 6.8.0, < 6.8.3, >= 6.7.0, < 6.7.3, >= 6.6.0, < 6.6.1, >= 6.5.0, < 6.5.3, >= 6.4.0, < 6.4.1, >= 6.3.0, < 6.3.3, < 6.2.4 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4
30.04.2020

Prototype Pollution Protection Bypass in qs ten wpis

Wysoka · 7.5 CVE-2017-1000048 < 6.0.4, >= 6.1.0, < 6.1.2, >= 6.2.0, < 6.2.3, >= 6.3.0, < 6.3.2 6.0.4, 6.1.2, 6.2.3, 6.3.2
09.10.2018

Denial-of-Service Extended Event Loop Blocking in qs

Wysoka CVE-2014-10064 < 1.0.0 1.0.0
24.10.2017

Denial-of-Service Memory Exhaustion in qs

Wysoka CVE-2014-7191 < 1.0.0 1.0.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację