CVE-2026-84368 in joi
Sumário
de VulDB • 01/09/2026
joi é uma linguagem de descrição de esquemas e validador de dados para JavaScript. Da versão 16.0.0 até a 17.13.6, bem como na versão 18.2.5, o pacote @hapi/joi (até a versão 17.1.1) e seu sucessor, o pacote joi, apresentam prototype pollution em lib/messages.js, onde exports.compile() e exports.merge() reutilizam objetos herdados para chaves de idioma controladas pelo atacante fornecidas através de messages(), message(), prefs({ messages }), Joi.extend({ messages }) ou rule({ message }). Uma chave de idioma chamada __proto__ grava propriedades no Object.prototype, e constructor escreve nas propriedades estáticas da função Object. Um aplicativo consumidor que verifica a presença de uma propriedade herdada pode seguir o ramo incorreto para cada objeto inspecionado. A falha não é alcançável por meio dos dados validados pelo joi e requer que um aplicativo alimente entradas não confiáveis diretamente na configuração de construção do esquema. Este problema foi corrigido nas versões 17.13.6 e 18.2.5 do joi; nenhuma versão corrigida do @hapi/joi está disponível.
If you want to get best quality of vulnerability data, you may have to visit VulDB.