Hola VPN - Il tuo strumento per sbloccare i siti web
Il modo più semplice per accedere a Internet senza confini: Hola VPN ti dà accesso ai contenuti online di tutto il mondo che desideri!
7.1 / 10
Ad alto rischio
Per la versione 1.251.527 dell'estensione
L'ultima versioneUnderscore.js è una libreria di utilità per JavaScript. Prima della versione 1.13.8, le funzioni _.flatten e _.isEqual utilizzavano la ricorsione senza un limite di profondità. In condizioni molto specifiche, descritte di seguito, un utente malintenzionato poteva sfruttare questa vulnerabilità in un attacco Denial of Service (DoS) provocando un overflow dello stack. Per creare una struttura dati ricorsiva, ad esempio utilizzando JSON.parse, senza un limite di profondità imposto, era necessario utilizzare input non attendibili, come nel caso di _.flatten o _.isEqual. La vulnerabilità poteva essere sfruttata solo se un client remoto era in grado di preparare una struttura dati composta da array a tutti i livelli E se non veniva passato alcun limite di profondità finito come secondo argomento a _.flatten. Nel caso di _.isEqual, la vulnerabilità poteva essere sfruttata solo se esisteva un percorso di codice in cui due strutture dati distinte, inviate dallo stesso client remoto, venivano confrontate utilizzando _.isEqual. Ad esempio, se un client invia dati che vengono memorizzati in un database e lo stesso client può successivamente inviare un'altra struttura dati che viene poi confrontata con i dati precedentemente salvati nel database, OPPURE se un client invia una singola richiesta, ma i suoi dati vengono analizzati due volte, creando due strutture dati non identiche ma equivalenti che vengono poi confrontate. Le eccezioni originate dalla chiamata a _.flatten o _.isEqual, a seguito di un overflow dello stack, non vengono intercettate. Questa vulnerabilità è stata corretta nella versione 1.13.8.
Rilevamento comportamentale
Sblocca la matrice MITRE ATT&CK completa
Informativa privacy
Sblocca la valutazione del rischio relativa all'informativa sulla privacy