Validation Bypass in kind-of

高 7.5CVE-2019-20149 · GHSA-6c8f-qphg-qjgp · 30/12/2019 公開 · 17/06/2026 更新

要点

CVE-2019-20149 は kind-of (kind-of project), kind-of に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.3%（全脆弱性の 83.7% より高い）。
対処：6.0.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
kind-of kind-of_project	`= 6.0.2`	修正版なし
kind-of npm	`≥ 6.0.0, < 6.0.3`	`6.0.3`

概要

Versions of kind-of 6.x prior to 6.0.3 are vulnerable to a Validation Bypass. A maliciously crafted object can alter the result of the type check, allowing attackers to bypass the type checking validation.

Recommendation

Upgrade to versions 6.0.3 or later.

NVD の説明

ctorName in index.js in kind-of v6.0.2 allows external user input to overwrite certain internal attributes via a conflicting name, as demonstrated by 'constructor': {'name':'Symbol'}. Hence, a crafted payload can overwrite this builtin attribute to manipulate the type detection result.