CVE-2025-3193 in algoliasearch-helper
Сводка
по VulDB • 07.06.2026
Версии пакета algoliasearch-helper начиная с 2.0.0-rc1 и до 3.11.2 (включительно) уязвимы к Prototype Pollution в функции _merge() в файле merge.js, что позволяет записывать значение в constructor.prototype, даже если это действие вызывает ошибку. В «крайнем случае» (extreme edge-case), если возникшая ошибка перехватывается, может быть выполнен код, внедренный в предоставленный пользователем параметр поиска.
Эта проблема связана, но отличается от инцидента, описанного в [CVE-2021-23433](https://security.snyk.io/vuln/SNYK-JS-ALGOLIASEARCHHELPER-1570421).
**ПРИМЕЧАНИЕ:** Данная уязвимость не может быть эксплуатирована в конфигурации по умолчанию для InstantSearch, поскольку параметры поиска (searchParameters) не могут быть изменены пользователями.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.