Type confusion in mpath

NGHIÊM TRỌNG 9.8CVE-2021-23438 · GHSA-p92x-r36w-9395 · Công bố 01/09/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-23438 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng mpath (mpath project), mpath.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.7%, cao hơn 77.6% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.8.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
mpath mpath_project	`< 0.8.4`	`0.8.4`
mpath npm	`< 0.8.4`	`0.8.4`

Mô tả

This affects the package mpath before 0.8.4. A type confusion vulnerability can lead to a bypass of CVE-2018-16490. In particular, the condition ignoreProperties.indexOf(parts[i]) !== -1 returns -1 if parts[i] is ['__proto__']. This is because the method that has been called if the input is an array is Array.prototype.indexOf() and not String.prototype.indexOf(). They behave differently depending on the type of the input.

Mô tả của NVD

This affects the package mpath before 0.8.4. A type confusion vulnerability can lead to a bypass of CVE-2018-16490. In particular, the condition ignoreProperties.indexOf(parts[i]) !== -1 returns -1 if parts[i] is ['__proto__']. This is because the method that has been called if the input is an array is Array.prototype.indexOf() and not String.prototype.indexOf(). They behave differently depending on the type of the input.