Use of Potentially Dangerous Function in mixme

緊急 9.1CVE-2021-28860 · CVE-2021-29491 · GHSA-79jw-6wg7-r9g4 · 03/05/2021 公開 · 09/07/2026 更新

要点

CVE-2021-28860 は mixme (adaltas), mixme に影響する深刻度「緊急」 (CVSS 9.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.8%（全脆弱性の 79.1% より高い）。
対処：0.5.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
mixme adaltas	`< 0.5.1`	`0.5.1`
mixme npm	`< 0.5.1`	`0.5.1`

概要

Impact

In Node.js mixme v0.5.0, an attacker can add or alter properties of an object via 'proto' through the mutate() and merge() functions. The polluted attribute will be directly assigned to every object in the program. This will put the availability of the program at risk causing a potential denial of service (DoS).

Patches

The problem is corrected starting with version 0.5.1.

References

Issue: https://github.com/adaltas/node-mixme/issues/1 Commit: https://github.com/adaltas/node-mixme/commit/cfd5fbfc32368bcf7e06d1c5985ea60e34cd4028

NVD の説明

In Node.js mixme, prior to v0.5.1, an attacker can add or alter properties of an object via '__proto__' through the mutate() and merge() functions. The polluted attribute will be directly assigned to every object in the program. This will put the availability of the program at risk causing a potential denial of service (DoS).