Wysoka

assign-deep Vulnerable to Prototype Pollution

Ujawniono: 21.08.2019
Aktualizacja: 11.10.2026 10:22

Versions of assign-deep prior to 1.0.1 and 0.4.8 are vulnerable to Prototype Pollution. The assign function fails to validate which Object properties it updates. This allows attackers to modify the prototype of Object, causing the addition or modification of an existing property on all objects.

Recommendation

Upgrade to versions 1.0.1, 0.4.8, or later.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	assign-deep	< 0.4.8, >= 1.0.0, < 1.0.1	0.4.8, 1.0.1

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE): CWE-1321, CWE-20, CWE-915
Platforma: npm
Paczka: assign-deep
Ujawniono: 21.08.2019
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-66rh-8fw6-59q6 - CC BY 4.0

Historia podatności: assign-deep

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 2
Pierwsza → ostatnia: 07.2018 08.2019
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 2

Ujawnienia w latach

2018: 1
2019: 1
2020: 0
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

21.08.2019

assign-deep Vulnerable to Prototype Pollution ten wpis

Wysoka · 7.5 CVE-2019-10745 < 0.4.8, >= 1.0.0, < 1.0.1 0.4.8, 1.0.1
26.07.2018

Prototype Pollution in assign-deep

Wysoka · 8.8 CVE-2018-3720 < 0.4.7 0.4.7

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację