Attestkeep
Langue : Français
S'inscrire

Vulnérabilités / CVE-2023-36665

critique

CVE-2023-36665

protobufjs: prototype pollution using user-controlled protobuf message

Publiée Modifiée CWE 1321
Dans la Trivy database depuis au moins le 24 oct. 2026, 07:11 UTCLa date d'entrée avant ce build n'est pas enregistrée.

Sévérité par source

NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat8.6CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Le label propre à Trivy est CRITICAL. Critique selon NVD, GHSA. Plus basse selon Red Hat (moyenne).

Description

"protobuf.js (aka protobufjs) 6.10.0 through 7.x before 7.2.5 allows Prototype Pollution, a different vulnerability than CVE-2022-25878. A user-controlled protobuf message can be used by an attacker to pollute the prototype of Object.prototype by adding and overwriting its data and functions. Exploitation can involve: (1) using the function parse to parse protobuf messages on the fly, (2) loading .proto files by using load/loadSync functions, or (3) providing untrusted input to the functions ReflectionObject.setParsedOption and util.setProperty.

Paquets affectés et versions corrigées

SourcePaquetCorrigé en
npm::GitHub Security Advisory npmprotobufjs7.2.5, 6.11.4
echo npm::Echo OSVprotobufjs6.11.4
rapidfort alma 8grafana, grafana-selinuxpas de correctif indiqué
rapidfort alma 9grafana, grafana-selinuxpas de correctif indiqué
rapidfort Oracle Linux 9grafana, grafana-selinuxpas de correctif indiqué
rapidfort rocky 8grafana, grafana-selinuxpas de correctif indiqué
rapidfort rocky 9grafana, grafana-selinuxpas de correctif indiqué
Red Hatgrafana, grafana-azure-monitor, grafana-cloudwatch et 11 autrespas de correctif indiqué
Afficher les 26 entrées de 8 sources
SourcePaquetCorrigé en
npm::GitHub Security Advisory npmprotobufjs7.2.5, 6.11.4
echo npm::Echo OSVprotobufjs6.11.4
rapidfort alma 8grafanapas de correctif indiqué
rapidfort alma 8grafana-selinuxpas de correctif indiqué
rapidfort alma 9grafanapas de correctif indiqué
rapidfort alma 9grafana-selinuxpas de correctif indiqué
rapidfort Oracle Linux 9grafanapas de correctif indiqué
rapidfort Oracle Linux 9grafana-selinuxpas de correctif indiqué
rapidfort rocky 8grafanapas de correctif indiqué
rapidfort rocky 8grafana-selinuxpas de correctif indiqué
rapidfort rocky 9grafanapas de correctif indiqué
rapidfort rocky 9grafana-selinuxpas de correctif indiqué
Red Hatgrafanapas de correctif indiqué
Red Hatgrafana-azure-monitorpas de correctif indiqué
Red Hatgrafana-cloudwatchpas de correctif indiqué
Red Hatgrafana-elasticsearchpas de correctif indiqué
Red Hatgrafana-graphitepas de correctif indiqué
Red Hatgrafana-influxdbpas de correctif indiqué
Red Hatgrafana-lokipas de correctif indiqué
Red Hatgrafana-mssqlpas de correctif indiqué
Red Hatgrafana-mysqlpas de correctif indiqué
Red Hatgrafana-opentsdbpas de correctif indiqué
Red Hatgrafana-postgrespas de correctif indiqué
Red Hatgrafana-prometheuspas de correctif indiqué
Red Hatgrafana-selinuxpas de correctif indiqué
Red Hatgrafana-stackdriverpas de correctif indiqué

Références

Les 15 références

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.