Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

npmパッケージ「tough-cookie」にプロトタイプ汚染の脆弱性

Salesforceが提供する「Node.js」向けのCookie管理用モジュール「tough-cookie」に脆弱性が明らかとなった。アップデートにて修正されている。

「CookieJar」の特定設定環境下において、プロトタイプ汚染の脆弱性「CVE-2023-26136」が明らかとなったもの。オブジェクトの初期化に問題があり、プロパティ情報を汚染されるおそれがある。

Snykでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」、重要度を「中(Medium)」とレーティングした。

一方、米国立標準技術研究所(NIST)による脆弱性データベース「NVD」では、影響の評価が異なり、CVSS基本値を「9.8」、重要度を「クリティカル(Critical)」としている。

現地時間6月6日に公開した「同4.1.3」にて同脆弱性を解消した。6月30日には概念実証(PoC)など詳細が公開されている。

(Security NEXT - 2023/07/10 ) このエントリーをはてなブックマークに追加

PR

関連記事

テゲ宮崎の通販サイト、管理ページが認証なしで閲覧可能に
サイバー攻撃でシステム障害が発生 - ヤマダコーポレーション
法人の不正送金被害が約8.6倍 - 金額ベースで個人を上回る
「IBM WebSphere Application Server」にRCE脆弱性 - 暫定パッチ公開
先週注目された記事(2025年6月22日〜2025年6月28日)
「MS Edge」にアップデート - 固有の脆弱性などにも対処
教員採用選考受検者の自己申告用紙が所在不明に - 新潟県
他県で実施した中学校自然教室で生徒名簿が所在不明に - 横浜市
誤った住所へ会員証を送付、システムトラブルで - JAF
Salesforceのローコード開発ツールに脆弱性 - 設定リスクの指摘も