Prototype Pollution in immer

NGHIÊM TRỌNG 9.8CVE-2021-23436 · GHSA-33f9-j839-rf8h · Công bố 01/09/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-23436 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng immer (immer project), immer.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.8%, cao hơn 78.5% các lỗ hổng khác.
Cách xử lý: cập nhật lên 9.0.6 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
immer immer_project	`< 9.0.6`	`9.0.6`
immer npm	`≥ 7.0.0, < 9.0.6`	`9.0.6`

Mô tả

This affects the package immer before 9.0.6. A type confusion vulnerability can lead to a bypass of CVE-2020-28477 when the user-provided keys used in the path parameter are arrays. In particular, this bypass is possible because the condition (p === "__proto__" || p === "constructor") in applyPatches_ returns false if p is ['__proto__'] (or ['constructor']). The === operator (strict equality operator) returns false if the operands have different type.

Mô tả của NVD

This affects the package immer before 9.0.6. A type confusion vulnerability can lead to a bypass of CVE-2020-28477 when the user-provided keys used in the path parameter are arrays. In particular, this bypass is possible because the condition (p === "__proto__" || p === "constructor") in applyPatches_ returns false if p is ['__proto__'] (or ['constructor']). The === operator (strict equality operator) returns false if the operands have different type.

Tham khảo

nvd.nist.gov/vuln/detail/CVE-2021-23436 · ADVISORY
immerjs/immer commit fa671e5 · WEB
immerjs/immer · PACKAGE
snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-1579266 · WEB
snyk.io/vuln/SNYK-JS-IMMER-1540542 · WEB

Lỗ hổng khác của immer

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

immer

immer_project

< 9.0.6

9.0.6

immer

npm

≥ 7.0.0, < 9.0.6

9.0.6

Mô tả

Mô tả của NVD

This affects the package immer before 9.0.6. A type confusion vulnerability can lead to a bypass of CVE-2020-28477 when the user-provided keys used in the path parameter are arrays. In particular, this bypass is possible because the condition (p === "__proto__" || p === "constructor") in applyPatches_ returns false if p is ['__proto__'] (or ['constructor']). The === operator (strict equality operator) returns false if the operands have different type.