Prototype Pollution Sicherheitslücke in mysql2 Library für Node.js entdeckt

Im beliebten mysql2-Paket (Version vor 3.9.8) für Node.js wurde eine Sicherheitslücke vom Typ Prototype Pollution bekannt. Die Schwachstelle CVE-2024-21512 tritt aufgrund einer unsachgemäßen Benutzereingabesäuberung auf, wenn nestTables verwendet wird. Ein Angreifer kann den Prototyp von Objekten manipulieren und bösartige Eigenschaften oder Methoden einschleusen. Dies kann zu verschiedenen Sicherheitsproblemen wie Remote-Code-Ausführung, Informationspreisgabe oder Denial-of-Service führen. Grund für die Schwachstelle ist eine unsaubere Input Sanitation wenn man Felder oder Tabellen an nestTables weitergibt.

Die Schwachstelle betrifft JavaScript und ermöglicht das Einfügen von Eigenschaften in bestehende JavaScript-Prototypen, z. B. von Objekten. JavaScript erlaubt die Änderung aller Objekteigenschaften, einschließlich Attribute wie __proto__, constructor und prototype. Ein Angreifer kann diese Attribute manipulieren, um den Prototyp eines JavaScript-Anwendungsobjekts zu überschreiben oder zu verunreinigen.

Um das Risiko zu mindern, wird empfohlen, auf die behobene Version des Pakets (3.9.8 oder höher) zu aktualisieren.

Tags :

Related Posts

Sicherheitslücke in Veritas System Recovery ermöglicht willkürliche Dateierstellung

Eine Schwachstelle wurde in Veritas System Recovery Version 23.0 (23.0.2.63015) und früher entdeckt, die es einem Angreifer mit niedrig privilegiertem Windows-Benutzerkonto ermöglicht, Dateien an beliebigen Speicherorten im Dateisystem zu erstellen. Diese Schwachstelle trägt die CVE-Nummer CVE-2024-35204 und wurde mit 8.4 / 10 als hoch eingestuft.

Read More

Sicherheitslücken in Ivanti Neurons for ITSM entdeckt

Zwei schwerwiegende Sicherheitslücken wurden im Web-Komponenten von Ivanti Neurons for ITSM entdeckt, die es authentifizierten Benutzern ermöglichen, erhebliche Schäden zu verursachen. Die Schwachstellen wurden als CVE-2024-22059 und CVE-2024-22060 klassifiziert.

Read More

Welotec TK500v1 Industrie-Router - Angreifer können Systeme übernehmen

Welotec, ein führender Anbieter von industriellen Netzwerklösungen, hat zwei kritische Sicherheitslücken in seiner TK500v1-Router-Serie geschlossen. Die Schwachstellen betreffen mehrere Modelle, darunter den weit verbreiteten 4G LTE Industrial Router TK525L, der mit fünf Ethernet-Ports, RS-232, RS-485 und 4G LTE ausgestattet ist. Diese Router sind für ihre kompakte und robuste Bauweise sowie ihre vollständige Integration mit der Welotec Smart EMS und VPN Security Suite bekannt.

Read More