Sider: Chatujte se všemi AI: GPT-5, Claude, DeepSeek, Gemini, Grok
ChatGPT, DeepSeek, Gemini, Claude, Grok, vše v jednom postranním panelu s umělou inteligencí pro vyhledávání, čtení a zápis s využitím umělé inteligence.
7.1 / 10
High Risk
Pro rozšíření verze 5.25.10
Nejnovější verzeDopad: Oprava chyby CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) přidala ověření pro proměnnou option v _.template, ale nepoužila stejné ověření pro názvy klíčů options.imports. Obě cesty ústí do stejné jímky konstruktoru Function(). Když aplikace předává nedůvěryhodný vstup jako názvy klíčů options.imports, může útočník vložit výrazy s výchozími parametry, které spustí libovolný kód při kompilaci šablony. _.template navíc používá ke sloučení importů metodu assignInWith, která vyjmenovává zděděné vlastnosti pomocí metody for..in. Pokud byl objekt Object.prototype kontaminován jiným vektorem, kontaminované klíče se zkopírují do objektu imports a předají se do Function(). Opravy: Uživatelé by měli upgradovat na verzi 4.18.0. Alternativní řešení: Nepředávejte nedůvěryhodný vstup jako názvy klíčů v options.imports. Používejte pouze statické názvy klíčů kontrolované vývojáři.
Dopad: Lodash verze 4.17.23 a starší jsou zranitelné vůči znečištění prototypů ve funkcích _.unset a _.omit. Oprava pro (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) chrání pouze před členy řetězcového klíče, takže útočník může kontrolu obejít předáním segmentů cesty zabalených do pole. To umožňuje odstranění vlastností z vestavěných prototypů, jako jsou Object.prototype, Number.prototype a String.prototype. Problém umožňuje odstranění vlastností prototypů, ale neumožňuje přepsat jejich původní chování. Opravy: Tento problém je opraven ve verzi 4.18.0. Řešení: Žádná. Upgradujte na opravenou verzi.
Verze Lodash 4.0.0 až 4.17.22 jsou zranitelné vůči znečištění prototypů ve funkcích _.unset a _.omit. Útočník může předat vytvořené cesty, které způsobí, že Lodash smaže metody z globálních prototypů. Tento problém umožňuje smazání vlastností, ale neumožňuje přepsat jejich původní chování. Tento problém byl opraven ve verzi 4.17.23.
Behaviorální detekce
Odemkněte celou matici MITRE ATT&CK
Zásady ochrany osobních údajů
Odemknout posouzení rizik zásad ochrany osobních údajů