tough-cookie<4.1.3 存在原型污染漏洞

tough-cookie<4.1.3 存在原型污染漏洞
漏洞类型原型污染发现时间2023/7/1漏洞等级中危
MPS编号MPS-esyq-56vxCVE编号漏洞影响广度一般

漏洞危害

OSCS 描述
tough-cookie 是一个用于处理 HTTP cookie 的 JavaScript 库。受影响版本中的 rejectPublicSuffixes=false 模式下使用 CookieJar 存在原型污染漏洞,攻击者可修改 Domain=__proto__; 原型属性执行恶意代码。用户可通过在 Map 中存储 cookie 或使用 this.idx = Object.create(null) 创建 idx 变量缓解此漏洞。参考链接:https://www.oscs1024.com/hd/MPS-esyq-56vx

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围处置方式处置方法
tough-cookie@[2.3.0, 4.1.3)更新升级Node.js到 16.20.1 或 18.16.1 或 20.3.1 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-esyq-56vx

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-esyq-56vx

https://nvd.nist.gov/vuln/detail/CVE-2023-26136

https://github.com/salesforce/tough-cookie/issues/282

https://github.com/salesforce/tough-cookie/commit/12d474791bb856004e858fdb1c47b7608d09cf6e

(0)
上一篇 2023年8月30日 下午3:03
下一篇 2023年8月31日 上午10:00

相关推荐

  • Spring Security AuthenticatedVoter 方法验证不当漏洞 (CVE-2024-22257)

    漏洞类型 访问控制不当 发现时间 2024-03-18 漏洞等级 高危 MPS编号 MPS-ucl7-dyox CVE编号 CVE-2024-22257 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring Security 是基于Spring应用程序的认证和访问控制框架 Spring Security在处理Authentication参数时没有对nul…

    2024年3月25日
    0
  • Atlassian Bitbucket 远程代码执行漏洞 (CVE-2023-22513)

    漏洞类型 输入验证不恰当 发现时间 2023-09-20 漏洞等级 高危 MPS编号 MPS-2023-0013 CVE编号 CVE-2023-22513 漏洞影响广度 广 漏洞危害 OSCS 描述 Atlassian Bitbucket 是澳大利亚Atlassian公司的一款Git代码托管解决方案。 在Bitbucket Server 和 Data Cen…

    2023年9月21日
    0
  • Apache Hadoop YARN Secure Containers 权限提升漏洞 (CVE-2023-26031)

    漏洞类型 输入验证不恰当 发现时间 2023-11-16 漏洞等级 高危 MPS编号 MPS-2023-4973 CVE编号 CVE-2023-26031 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Hadoop是美国阿帕奇(Apache)基金会的一套开源的分布式系统基础架构。YARN Secure Containers功能用于在隔离的 lin…

    2023年11月17日
    0
  • Next.js < 14.1.1 Server Actions SSRF漏洞 (CVE-2024-34351)

    漏洞类型 SSRF 发现时间 2024-05-10 漏洞等级 高危 MPS编号 MPS-4cby-lanf CVE编号 CVE-2024-34351 漏洞影响广度 一般 漏洞危害 OSCS 描述 Next.js 是Node.js生态中基于 React 的开源Web框架,其通过Server Actions功能提供了后端开发能力。 在受影响版本中,当使用Serv…

    漏洞 2024年5月11日
    0
  • ZooKeeper SASL 身份验证绕过漏洞 (CVE-2023-44981)

    漏洞类型 通过用户控制密钥绕过授权机制 发现时间 2023-10-11 漏洞等级 高危 MPS编号 MPS-bznr-672x CVE编号 CVE-2023-44981 漏洞影响广度 一般 漏洞危害 OSCS 描述 ZooKeeper 是开源的分布式应用程序协调服务,数据树是指Apache ZooKeeper中存储数据的层次结构,SASL是一种用于进行身份验…

    2023年10月12日
    0