GHSA-mwv9-gp5h-frr4

GHSA-mwv9-gp5h-frr4 · Sveltejs devalue's `devalue.parse` and `devalue.unflatten` emit objects with `__proto__` own properties

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

In some circumstances, `devalue.parse` and `devalue.unflatten` could emit objects with `__proto__` own properties. This in and of itself is not a security vulnerability (and is possible with, for example, `JSON.parse` as well), but it can result in prototype injection if _downstream_ code handles it incorrectly: ```ts const result = devalue.parse(/* input creating an object with a __proto__ property */); const target = {}; Object.assign(target, result); // target's prototype is now polluted ```

CVSS 6.9 · Средний · Есть исправление

Опубликовано

2026-03-12T16:38:15Z

Обновлено

2026-06-26T20:45:12.205249352Z

Стек: node

Проверьте свой сервер →