Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

npmパッケージ「tough-cookie」にプロトタイプ汚染の脆弱性

Salesforceが提供する「Node.js」向けのCookie管理用モジュール「tough-cookie」に脆弱性が明らかとなった。アップデートにて修正されている。

「CookieJar」の特定設定環境下において、プロトタイプ汚染の脆弱性「CVE-2023-26136」が明らかとなったもの。オブジェクトの初期化に問題があり、プロパティ情報を汚染されるおそれがある。

Snykでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」、重要度を「中(Medium)」とレーティングした。

一方、米国立標準技術研究所(NIST)による脆弱性データベース「NVD」では、影響の評価が異なり、CVSS基本値を「9.8」、重要度を「クリティカル(Critical)」としている。

現地時間6月6日に公開した「同4.1.3」にて同脆弱性を解消した。6月30日には概念実証(PoC)など詳細が公開されている。

(Security NEXT - 2023/07/10 ) このエントリーをはてなブックマークに追加

PR

関連記事

トレンドの法人向けセキュリティ製品に脆弱性 - すでに悪用済み
日本シーサート協議会、12月に年次カンファレンスイベントを開催
人口動態調査のデータを異なる自治体に誤返却 - 四條畷保健所
サーバに不正アクセス、個人情報10万件超が流出の可能性 - マツダ
QNAP製NASに複数の脆弱性 - 修正版以降へ更新を
「ZCS」に2件の脆弱性 - セキュリティアップデートが公開
ネットワーク監視ツール「LibreNMS」に脆弱性 - 「クリティカル」も
2022年に悪用が目立った脆弱性トップ12 - 2021年以前の脆弱性も引き続き標的に
チャレンジ農業支援事業の委託先が携帯電話を紛失 - 東京都
北米法人で情報流出を確認、ランサム影響か - アルプスアルパイン