p PatchFirst

CVE-2023-28427

CVE-2023-28427 · Prototype pollution in matrix-js-sdk

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

matrix-js-sdk is a Matrix messaging protocol Client-Server SDK for JavaScript. In versions prior to 24.0.0 events sent with special strings in key places can temporarily disrupt or impede the matrix-js-sdk from functioning properly, potentially impacting the consumer's ability to process data safely. Note that the matrix-js-sdk can appear to be operating normally but be excluding or corrupting runtime data presented to the consumer. This vulnerability is distinct from GHSA-rfv9-x7hh-xc32 which covers a similar issue. The issue has been patched in matrix-js-sdk 24.0.0 and users are advised to upgrade. There are no known workarounds for this vulnerability.

CVSS 8.2 · Высокий · EPSS 1,2% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • matrix-js-sdk

    Версии
    • < 24.0.0: Затронуто

    Нет опубликованного исправления

  • thunderbird Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 1:102.9.1-1

    Обновитесь до 1:102.9.1-1

  • thunderbird Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 1:102.9.1-1

    Обновитесь до 1:102.9.1-1

  • thunderbird Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 1:102.9.1-1

    Обновитесь до 1:102.9.1-1

  • matrix-js-sdk npm

    Затронутые диапазоны версий
    • SEMVER: < 24.0.0

    Обновитесь до 24.0.0

  • node-matrix-js-sdk Ubuntu:20.04:LTS

    Версии
    • 0.9.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-matrix-js-sdk Ubuntu:22.04:LTS

    Версии
    • 9.3.0+~cs9.9.16-2
    • 9.11.0+~cs9.9.16-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-matrix-js-sdk Ubuntu:24.04:LTS

    Версии
    • 9.11.0+~cs9.9.16-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →