Prototype Pollution in putil-merge

緊急 9.8CVE-2021-23470 · GHSA-4g77-cvgw-grvw · SNYK-JS-PUTILMERGE-2391487 · 04/02/2022 公開 · 17/06/2026 更新

要点

CVE-2021-23470 は putil-merge (putil-merge project), putil-merge に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.3%（全脆弱性の 69.9% より高い）。
対処：3.8.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
putil-merge putil-merge_project	`< 3.8.0`	`3.8.0`
putil-merge npm	`< 3.8.0`	`3.8.0`

概要

This affects the package putil-merge before 3.8.0. The merge() function does not check the values passed into the argument. An attacker can supply a malicious value by adjusting the value to include the constructor property. Note: This vulnerability derives from an incomplete fix in https://security.snyk.io/vuln/SNYK-JS-PUTILMERGE-1317077

NVD の説明