Attestkeep
Idioma: Español
Registrarse

Vulnerabilidades / CVE-2023-36665

crítica

CVE-2023-36665

protobufjs: prototype pollution using user-controlled protobuf message

Publicada Modificada CWE 1321
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.

Severidad por fuente

NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat8.6CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

La etiqueta propia de Trivy es CRITICAL. Crítica según NVD, GHSA. Más baja según Red Hat (media).

Descripción

"protobuf.js (aka protobufjs) 6.10.0 through 7.x before 7.2.5 allows Prototype Pollution, a different vulnerability than CVE-2022-25878. A user-controlled protobuf message can be used by an attacker to pollute the prototype of Object.prototype by adding and overwriting its data and functions. Exploitation can involve: (1) using the function parse to parse protobuf messages on the fly, (2) loading .proto files by using load/loadSync functions, or (3) providing untrusted input to the functions ReflectionObject.setParsedOption and util.setProperty.

Paquetes afectados y versiones corregidas

FuentePaqueteCorregido en
npm::GitHub Security Advisory npmprotobufjs7.2.5, 6.11.4
echo npm::Echo OSVprotobufjs6.11.4
rapidfort alma 8grafana, grafana-selinuxsin corrección indicada
rapidfort alma 9grafana, grafana-selinuxsin corrección indicada
rapidfort Oracle Linux 9grafana, grafana-selinuxsin corrección indicada
rapidfort rocky 8grafana, grafana-selinuxsin corrección indicada
rapidfort rocky 9grafana, grafana-selinuxsin corrección indicada
Red Hatgrafana, grafana-azure-monitor, grafana-cloudwatch y 11 mássin corrección indicada
Mostrar las 26 entradas de 8 fuentes
FuentePaqueteCorregido en
npm::GitHub Security Advisory npmprotobufjs7.2.5, 6.11.4
echo npm::Echo OSVprotobufjs6.11.4
rapidfort alma 8grafanasin corrección indicada
rapidfort alma 8grafana-selinuxsin corrección indicada
rapidfort alma 9grafanasin corrección indicada
rapidfort alma 9grafana-selinuxsin corrección indicada
rapidfort Oracle Linux 9grafanasin corrección indicada
rapidfort Oracle Linux 9grafana-selinuxsin corrección indicada
rapidfort rocky 8grafanasin corrección indicada
rapidfort rocky 8grafana-selinuxsin corrección indicada
rapidfort rocky 9grafanasin corrección indicada
rapidfort rocky 9grafana-selinuxsin corrección indicada
Red Hatgrafanasin corrección indicada
Red Hatgrafana-azure-monitorsin corrección indicada
Red Hatgrafana-cloudwatchsin corrección indicada
Red Hatgrafana-elasticsearchsin corrección indicada
Red Hatgrafana-graphitesin corrección indicada
Red Hatgrafana-influxdbsin corrección indicada
Red Hatgrafana-lokisin corrección indicada
Red Hatgrafana-mssqlsin corrección indicada
Red Hatgrafana-mysqlsin corrección indicada
Red Hatgrafana-opentsdbsin corrección indicada
Red Hatgrafana-postgressin corrección indicada
Red Hatgrafana-prometheussin corrección indicada
Red Hatgrafana-selinuxsin corrección indicada
Red Hatgrafana-stackdriversin corrección indicada

Referencias

Las 15 referencias

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.