Prototype Pollution in object-path-set

緊急 9.8CVE-2021-23507 · GHSA-h6pr-c536-6rjg · SNYK-JS-OBJECTPATHSET-2388576 · 04/02/2022 公開 · 17/06/2026 更新

要点

CVE-2021-23507 は object-path-set (skratchdot), object-path-set に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.1%（全脆弱性の 82.0% より高い）。
対処：1.0.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
object-path-set skratchdot	`< 1.0.2`	`1.0.2`
object-path-set npm	`< 1.0.2`	`1.0.2`

概要

The package object-path-set before 1.0.2 are vulnerable to Prototype Pollution via the setPath method, as it allows an attacker to merge object prototypes into it. Note: This vulnerability derives from an incomplete fix in https://security.snyk.io/vuln/SNYK-JS-OBJECTPATHSET-607908

NVD の説明

The package object-path-set before 1.0.2 are vulnerable to Prototype Pollution via the setPath method, as it allows an attacker to merge object prototypes into it. *Note:* This vulnerability derives from an incomplete fix in https://security.snyk.io/vuln/SNYK-JS-OBJECTPATHSET-607908

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-23507 · ADVISORY
skratchdot/object-path-set commit 2d67a71 · WEB
skratchdot/object-path-set · WEB
skratchdot/object-path-set · WEB
snyk.io/blog/remediate-javascript-type-confusion-bypassed-input-validation · WEB
snyk.io/vuln/SNYK-JS-OBJECTPATHSET-2388576 · WEB
snyk.io/blog/remediate-javascript-type-confusion-bypassed-input-validation · Third Party Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

object-path-set

skratchdot

< 1.0.2

1.0.2

object-path-set

npm

< 1.0.2

1.0.2

概要

NVD の説明