תיאור (מקור, אנגלית)
This affects the package ini before 1.3.6. If an attacker submits a malicious INI file to an application that parses it with ini.parse, they will pollute the prototype on the application. This can be exploited further depending on the context.
מוצרים מושפעים
ini_project: ini; debian: debian linux
קישורים6
- github.com/npm/ini/commit/56d2805e07ccd94e2ba0984ac9240ff02d44… PatchThird Party Advisory
- github.com/npm/ini/commit/56d2805e07ccd94e2ba0984ac9240ff02d44… PatchThird Party Advisory
- snyk.io/vuln/SNYK-JS-INI-1048974 ExploitThird Party Advisory
- snyk.io/vuln/SNYK-JS-INI-1048974 ExploitThird Party Advisory
- lists.debian.org/debian-lts-announce/2020/12/msg00032.html Mailing ListThird Party Advisory
- lists.debian.org/debian-lts-announce/2020/12/msg00032.html Mailing ListThird Party Advisory
מדדים
- CVSS 3.1
-
9.8
CRITICAL
מקור הציון: NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 4% אחוזון 90 · נכון ל-11 בנובמבר 2026
- CWE
- CWE-1321
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.