| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|---|---|
| fastify-multipart | < 5.3.1 | 5.3.1 |
| fastify-multipart | < 5.3.1 | 5.3.1 |
This is a bypass of CVE-2020-8136 (https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8136).
By providing a name=constructor property it is still possible to crash the application.
The original fix only checks for the key __proto__ (https://github.com/fastify/fastify-multipart/pull/116).
All users are recommended to upgrade
v5.3.1 includes a patch
No workarounds are possible.
Read up https://www.fastify.io/docs/latest/Guides/Prototype-Poisoning/
If you have any questions or comments about this advisory:
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí