totaljs total.js 未加控制的资源消耗（资源穷尽）

CVE编号

CVE-2020-28495

利用情况

暂无

补丁情况

N/A

披露时间

2021-02-05

漏洞描述

There is a prototype pollution vulnerability in the package total.js before version 3.4.7. The set function can be used to set a value into the object according to the path. However the keys of the path being set are not properly sanitized, leading to a prototype pollution vulnerability. The impact depends on the application. In some cases it is possible to achieve Denial of service (DoS), Remote Code Execution or Property Injection.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://docs.totaljs.com/latest/en.html%23api~FrameworkUtils~U.set
https://github.com/totaljs/framework/blob/master/utils.js%23L6606
https://github.com/totaljs/framework/blob/master/utils.js%23L6617
https://github.com/totaljs/framework/commit/b3f901561d66ab799a4a99279893b94cad7ae4ff
https://snyk.io/vuln/SNYK-JS-TOTALJS-1046671

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	totaljs	total.js	*		Up to (excluding) 3.4.7

CVSS3评分 7.3

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 低
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L CWE-ID 漏洞类型 CWE-400 未加控制的资源消耗（资源穷尽） NVD-CWE-Other