Sider: Chatea con todas las IA: GPT-5, Claude, DeepSeek, Gemini, Grok
ChatGPT, DeepSeek, Gemini, Claude y Grok, todo en una barra lateral de IA, para búsqueda, lectura y escritura mediante IA.
7.1 / 10
Alto Riesgo
Para la versión de extensión 5.25.10
Ultima versiónImpacto: La corrección para CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) agregó validación para la opción variable en _.template pero no aplicó la misma validación a los nombres de clave de options.imports. Ambas rutas fluyen al mismo sumidero del constructor Function(). Cuando una aplicación pasa entrada no confiable como nombres de clave de options.imports, un atacante puede inyectar expresiones de parámetros predeterminados que ejecutan código arbitrario en el tiempo de compilación de la plantilla. Además, _.template usa assignInWith para fusionar importaciones, que enumera propiedades heredadas a través de for..in. Si Object.prototype ha sido contaminado por cualquier otro vector, las claves contaminadas se copian en el objeto imports y se pasan a Function(). Parches: Los usuarios deben actualizar a la versión 4.18.0. Soluciones alternativas: No pase entrada no confiable como nombres de clave en options.imports. Use solo nombres de clave estáticos controlados por el desarrollador.
Impacto: Las versiones 4.17.23 y anteriores de Lodash son vulnerables a la contaminación de prototipos en las funciones _.unset y _.omit. La corrección para (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) solo protege contra miembros de clave de cadena, por lo que un atacante puede eludir la verificación pasando segmentos de ruta envueltos en array. Esto permite la eliminación de propiedades de prototipos integrados como Object.prototype, Number.prototype y String.prototype. El problema permite la eliminación de propiedades de prototipo pero no permite sobrescribir su comportamiento original. Parches: Este problema está parcheado en 4.18.0. Soluciones alternativas: Ninguna. Actualizar a la versión parcheada.
Las versiones de Lodash de la 4.0.0 a la 4.17.22 son vulnerables a la contaminación de prototipos en las funciones _.unset y _.omit. Un atacante puede introducir rutas manipuladas que provocan que Lodash elimine métodos de prototipos globales. Este problema permite la eliminación de propiedades, pero no la sobrescritura de su comportamiento original. Este problema se ha corregido en la versión 4.17.23.
Detecciones de comportamiento
Desbloquea la matriz completa de MITRE ATT&CK
Política de privacidad
Desbloquea la evaluación de riesgos de la política de privacidad