CVE-2026-27212 in swiper
Riassunto
di VulDB • 20/06/2026
Swiper è uno slider touch gratuito e mobile con transizioni accelerate dall'hardware e comportamento nativo. Le versioni dalla 6.5.1 alla 12.1.1 presentano una vulnerabilità di Prototype pollution (inquinamento del prototipo). La vulnerabilità risiede nella riga 94 di shared/utils.mjs, dove la funzione indexOf() viene utilizzata per verificare se l'input fornito dall'utente contiene stringhe proibite. Nonostante un precedente tentativo di mitigazione dell'inquinamento del prototipo che verificava se l'input dell'utente contenesse una chiave proibita, è ancora possibile inquinare Object.prototype tramite un input manipolato ad hoc utilizzando Array.prototype. L'esecuzione del codice malevolo (exploit) funziona su Windows e Linux e sui runtime Node e Bun. Qualsiasi applicazione che elabora input controllati dall'attaccante utilizzando questo pacchetto potrebbe essere interessata dalle seguenti conseguenze: Authentication Bypass (bypass dell'autenticazione), Denial of Service (DoS, negazione del servizio) ed Esecuzione di codice remoto non autorizzato (RCE). Questo problema è stato risolto nella versione 12.1.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.