Sider: Συνομιλία με όλες τις Τεχνητές Νοημοσύνης: GPT-5, Claude, DeepSeek, Gemini, Grok
ChatGPT, DeepSeek, Gemini, Claude, Grok, όλα σε μία πλαϊνή μπάρα AI, για αναζήτηση, ανάγνωση και γραφή με AI.
7.1 / 10
Υψηλού Κινδύνου
Για την έκδοση επέκτασης 5.25.10
Τελευταία έκδοσηΕπίδραση: Η επιδιόρθωση για το CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) πρόσθεσε επικύρωση για την επιλογή μεταβλητής στο _.template, αλλά δεν εφάρμοσε την ίδια επικύρωση στα ονόματα κλειδιών options.imports. Και οι δύο διαδρομές ρέουν στον ίδιο δέκτη κατασκευής Function(). Όταν μια εφαρμογή μεταβιβάζει μη αξιόπιστη είσοδο ως ονόματα κλειδιών options.imports, ένας εισβολέας μπορεί να εισάγει εκφράσεις προεπιλεγμένων παραμέτρων που εκτελούν αυθαίρετο κώδικα κατά τη στιγμή της μεταγλώττισης του προτύπου. Επιπλέον, το _.template χρησιμοποιεί το assignInWith για τη συγχώνευση εισαγωγών, το οποίο απαριθμεί κληρονομημένες ιδιότητες μέσω του for..in. Εάν το Object.prototype έχει μολυνθεί από οποιοδήποτε άλλο διάνυσμα, τα μολυσμένα κλειδιά αντιγράφονται στο αντικείμενο imports και μεταβιβάζονται στο Function(). Ενημερώσεις κώδικα: Οι χρήστες θα πρέπει να αναβαθμίσουν στην έκδοση 4.18.0. Λύσεις: Μην μεταβιβάζετε μη αξιόπιστη είσοδο ως ονόματα κλειδιών στο options.imports. Χρησιμοποιήστε μόνο στατικά ονόματα κλειδιών που ελέγχονται από τον προγραμματιστή.
Επίδραση: Οι εκδόσεις 4.17.23 και οι παλαιότερες του Lodash είναι ευάλωτες σε ρύπανση πρωτοτύπου στις συναρτήσεις _.unset και _.omit. Η διόρθωση για το (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) προστατεύει μόνο από μέλη κλειδιού συμβολοσειράς, επομένως ένας εισβολέας μπορεί να παρακάμψει τον έλεγχο περνώντας τμήματα διαδρομής που είναι τυλιγμένα σε πίνακα. Αυτό επιτρέπει τη διαγραφή ιδιοτήτων από ενσωματωμένα πρωτότυπα όπως Object.prototype, Number.prototype και String.prototype. Το πρόβλημα επιτρέπει τη διαγραφή ιδιοτήτων πρωτοτύπου, αλλά δεν επιτρέπει την αντικατάσταση της αρχικής τους συμπεριφοράς. Ενημερώσεις κώδικα: Αυτό το πρόβλημα έχει ενημερωθεί στην έκδοση 4.18.0. Λύσεις: Καμία. Αναβαθμίστε στην έκδοση με τις ενημερώσεις κώδικα.
Οι εκδόσεις του Lodash από 4.0.0 έως 4.17.22 είναι ευάλωτες σε ρύπανση πρωτοτύπων στις συναρτήσεις _.unset και _.omit. Ένας εισβολέας μπορεί να περάσει δημιουργημένες διαδρομές που προκαλούν τη διαγραφή μεθόδων από καθολικά πρωτότυπα από το Lodash. Το πρόβλημα επιτρέπει τη διαγραφή ιδιοτήτων, αλλά δεν επιτρέπει την αντικατάσταση της αρχικής τους συμπεριφοράς. Αυτό το πρόβλημα διορθώθηκε στην έκδοση 4.17.23.
Ανιχνεύσεις συμπεριφοράς
Ξεκλειδώστε τον πλήρη πίνακα MITRE ATT&CK
Πολιτική Απορρήτου
Ξεκλείδωμα αξιολόγησης κινδύνου πολιτικής απορρήτου