p PatchFirst

CVE-2026-27837

CVE-2026-27837 · Dottie vulnerable to prototype pollution bypass via non-first path segments in set() and transform()

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Dottie provides nested object access and manipulation in JavaScript. Versions 2.0.4 through 2.0.6 contain an incomplete fix for CVE-2023-26132. The prototype pollution guard introduced in commit `7d3aee1` only validates the first segment of a dot-separated path, allowing an attacker to bypass the protection by placing `__proto__` at any position other than the first. Both `dottie.set()` and `dottie.transform()` are affected. Version 2.0.7 contains an updated fix to address the residual vulnerability.

CVSS 6.3 · Средний · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • dottie.js

    Версии
    • >= 2.0.4, < 2.0.7: Затронуто

    Нет опубликованного исправления

  • node-dottie Debian:12

    Версии
    • 2.0.2-4
    • 2.0.2-4+deb12u1
    • 2.0.6+~2.0.5-1
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Debian:13

    Версии
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Debian:14

    Версии
    • 2.0.6+~2.0.5-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.0.7+~2.0.7-1

    Обновитесь до 2.0.7+~2.0.7-1

  • dottie npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.0.4, < 2.0.7

    Обновитесь до 2.0.7

  • node-dottie Ubuntu:Pro:20.04:LTS

    Версии
    • 2.0.2-1
    • 2.0.2-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Ubuntu:Pro:22.04:LTS

    Версии
    • 2.0.2-1
    • 2.0.2-3
    • 2.0.2-4
    • 2.0.2-4ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Ubuntu:24.04:LTS

    Версии
    • 2.0.6+~2.0.5-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Ubuntu:25.10

    Версии
    • 2.0.6+~2.0.5-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Ubuntu:26.10

    Версии
    • 2.0.7+~2.0.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dottie Ubuntu:26.04:LTS

    Версии
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →