Browserc VPN: VPN gratuita per Chrome

Impatto: La correzione per CVE-2021-23337 (https://github.com/advisories/GHSA-35jh-r3h4-6jhm) ha aggiunto la convalida per l'opzione variabile in _.template, ma non ha applicato la stessa convalida ai nomi delle chiavi di options.imports. Entrambi i percorsi confluiscono nello stesso sink del costruttore Function(). Quando un'applicazione passa input non attendibili come nomi delle chiavi di options.imports, un utente malintenzionato può iniettare espressioni con parametri predefiniti che eseguono codice arbitrario al momento della compilazione del template. Inoltre, _.template utilizza assignInWith per unire le importazioni, che enumera le proprietà ereditate tramite for..in. Se Object.prototype è stato inquinato da qualsiasi altro vettore, le chiavi inquinate vengono copiate nell'oggetto imports e passate a Function(). Patch: Gli utenti dovrebbero aggiornare alla versione 4.18.0. Soluzioni alternative: Non passare input non attendibili come nomi delle chiavi in ​​options.imports. Utilizzare solo nomi di chiavi statici controllati dallo sviluppatore.

Impatto: Le versioni di Lodash 4.17.23 e precedenti sono vulnerabili alla contaminazione dei prototipi nelle funzioni _.unset e _.omit. La correzione per (CVE-2025-13465: https://github.com/lodash/lodash/security/advisories/GHSA-xxjr-mmjv-4gpg) protegge solo dai membri chiave stringa, quindi un utente malintenzionato può aggirare il controllo passando segmenti di percorso incapsulati in array. Ciò consente l'eliminazione di proprietà da prototipi predefiniti come Object.prototype, Number.prototype e String.prototype. Il problema consente l'eliminazione delle proprietà del prototipo ma non permette di sovrascriverne il comportamento originale. Patch: Questo problema è stato corretto nella versione 4.18.0. Soluzioni alternative: Nessuna. Aggiornare alla versione corretta.

Le versioni di Lodash dalla 4.0.0 alla 4.17.22 sono vulnerabili a un problema di "prototype pollution" nelle funzioni _.unset e _.omit. Un utente malintenzionato può passare percorsi appositamente creati che inducono Lodash a eliminare metodi dai prototipi globali. Il problema consente l'eliminazione delle proprietà, ma non permette di sovrascriverne il comportamento originale. Questa vulnerabilità è stata corretta nella versione 4.17.23.