CVE-2026-61834

ŚrednieCVSS 4.3

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Streszczenie

Biblioteka scim-patch przed wersją 0.9.2 zawiera podatność polegającą na tym, że funkcje navigate() i assign() nieprawidłowo obsługują dziedziczone właściwości podczas przetwarzania ścieżek SCIM PATCH. Atakujący może wykorzystać właściwości takie jak toString, aby zmutować globalne obiekty procesu, co wpływa na logikę aplikacji.

Ocena ryzyka

Możliwość globalnej mutacji obiektów może prowadzić do nieoczekiwanego zachowania aplikacji, potencjalnie umożliwiając dalsze ataki lub naruszenie integralności danych.

Rekomendacja

Zaktualizuj bibliotekę scim-patch do wersji 0.9.2 lub nowszej, która zawiera poprawkę.

Inne podatności w scim-patch

CVE-2026-48170Krytyczne
scim-patch, biblioteka do wykonywania poprawek SCIM, przed wersją 0.9.1 jest podatna na zanieczyszczenie prototypu podczas stosowania operacji SCIM PATCH, gdy obiekt 'value' zawiera klucz taki jak '__proto__.someProp'. Po takiej poprawce Object.prototype.someProp jest ustawiany w całym procesie, wpływając na każdy zwykły obiekt w procesie Node.

Oryginalny opis (angielski, źródło NVD)

scim-patch is a library for applying SCIM patch operations. Prior to 0.9.2, navigate() reads inherited properties and assign() uses prototype-chain membership checks while resolving attacker-controlled SCIM PATCH paths. A path or one of the dotted value keys beginning with an inherited property such as toString can therefore traverse into a shared built-in function object and add attacker-controlled properties, causing process-global mutation that may affect application logic reading inherited-method properties. This issue is fixed in version 0.9.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS