CVE-2025-3193 in algoliasearch-helper
Riassunto
di VulDB • 19/06/2026
Le versioni del pacchetto algoliasearch-helper dalla 2.0.0-rc1 alla versione precedente alla 3.11.2 sono vulnerabili a Prototype Pollution nella funzione _merge() in merge.js, che consente la scrittura su constructor.prototype anche se tale operazione genera un errore. Nel "caso limite estremo" in cui l'errore risultante viene intercettato (catch), il codice iniettato nel parametro di ricerca fornito dall'utente potrebbe essere eseguito.
Questo problema è correlato ma distinto da quello segnalato nella [CVE-2021-23433](https://security.snyk.io/vuln/SNYK-JS-ALGOLIASEARCHHELPER-1570421).
**NOTA:** Questa vulnerabilità non è sfruttabile (exploitable) nella configurazione predefinita di InstantSearch poiché i searchParameters non sono modificabili dagli utenti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.