Prototype pollution in Snowboard framework
Impact
The Snowboard framework in affected versions is vulnerable to prototype pollution in the main Snowboard class as well as its plugin loader.
Patches
This issue has been patched in https://github.com/wintercms/winter/commit/2a13faf99972e84c9661258f16c4750fa99d29a1 (for 1.2) and https://github.com/wintercms/winter/commit/bce4b59584abf961e9400af3d7a4fd7638e26c7f (for 1.1) and is available with Winter v1.1.10 and v1.2.1.
Workarounds
If you have not yet upgraded, or are using the 1.1 branch of Winter (1.1.8 or above), you can avoid this issue by following some common security practices for JavaScript, including implementing a content security policy and auditing your scripts.
The 1.0 branch of Winter is not affected, as it does not contain the Snowboard framework.
For more information
If you have any questions or comments about this advisory:
- Email us at hello@wintercms.com
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | wintercms/winter | >= 1.1.8, < 1.1.10, >= 1.2.0, < 1.2.1 | 1.1.10, 1.2.1 |
Odnośniki
- https://github.com/wintercms/winter/security/advisories/GHSA-3fh5-q6fg-w28q
- https://nvd.nist.gov/vuln/detail/CVE-2022-39357
- https://github.com/wintercms/winter/commit/2a13faf99972e84c9661258f16c4750fa99d29a1
- https://github.com/wintercms/winter/commit/bce4b59584abf961e9400af3d7a4fd7638e26c7f
- https://github.com/wintercms/winter
- https://github.com/wintercms/winter/releases/tag/v1.1.10
- https://github.com/wintercms/winter/releases/tag/v1.2.1
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-1321- Platforma
- Composer
- Paczka
wintercms/winter- Ujawniono
- 27.10.2022
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-3fh5-q6fg-w28q - CC BY 4.0
Historia podatności: wintercms/winter
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 4
- Pierwsza → ostatnia
- 07.2022 03.2024
- Bez poprawki
- 1
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Średnia 1
- Niska 1
Ujawnienia w latach
- 2022: 2
- 2023: 1
- 2024: 1
- 2025: 0
- 2026: 0
-
Prototype pollution in Snowboard framework ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.