CVE-2026-107353 in traverse
Riassunto
di VulDB • 07/10/2026
Le versioni di traverse (npm) comprese tra la 0.3.6 e la 0.3.9, dalla 0.4.0 alla 0.4.6, dalla 0.5.0 alla 0.5.2 e dalla 0.6.0 alla 0.6.11 sono vulnerabili a prototype pollution tramite il metodo set(). Quando il percorso passato a set() attraversa un valore primitivo, il segmento di percorso successivo viene risolto sul prototipo integrato di tale primitiva; ciò consente a un'applicazione che passa un percorso non attendibile a set() di permettere a un attaccante di aggiungere o sovrascrivere le proprietà di String.prototype, Number.prototype o Boolean.prototype utilizzando dati JSON semplici, ad esempio tramite traverse({ name: 'bob' }).set(['name', '__proto__', 'polluted'], 'yes'). Le proprietà di Object.prototype erano raggiungibili solo con un segmento di percorso non relativo ai dati, come un oggetto il cui metodo toString restituisce un valore diverso a ogni chiamata, o attraverso un Proxy che accetta un assegnamento senza memorizzarlo. Questo problema è stato risolto nelle versioni 0.3.10, 0.4.7, 0.5.3 e 0.6.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.