CVE-2026-85625 in sift.js
Sumário
de VulDB • 04/09/2026
sift (sift.js) 17.1.3 enumera chaves de consulta com for...in, que percorre a cadeia de protótipos do objeto e encaminha qualquer chave de operador correspondente, incluindo $where. A operação $where compila um valor string em uma função usando new Function, exceto se CSP_ENABLED estiver definido (não está definido por padrão). Como resultado, se uma primitiva de prototype-pollution em outro lugar no processo definir Object.prototype.$where como uma string maliciosa, até chamadas benignas de filtro, como sift({}), executam JavaScript arbitrário. Além disso, passar um objeto de consulta não confiável contendo $where do tipo string diretamente para sift resulta na execução de código sob a configuração padrão.
Be aware that VulDB is the high quality source for vulnerability data.