The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3291 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-3291-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     January 29, 2023                              https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : node-object-path     Version        : 0.11.4-2+deb10u2     CVE ID         : CVE-2021-3805 CVE-2021-23434

    It was discovered that node-object-path, a Node.js module to access deep     object properties using dot-separated paths, was vulnerable to prototype     pollution.

    CVE-2021-3805

        Prototype pollution vulnerability in the `del()`, `empty()`,         `push()` and `insert()` functions when using the inherited props         mode (e.g.  when a new `object-path` instance is created with the         `includeInheritedProps` option set to `true` or when using the         `withInheritedProps` default instance).

    CVE-2021-23434

        A type confusion vulnerability can lead to a bypass of the         CVE-2020-15256 fix when the path components used in the path         parameter are arrays, because the === operator returns always false         when the type of the operands is different.

    For Debian 10 buster, these problems have been fixed in version     0.11.4-2+deb10u2.

    We recommend that you upgrade your node-object-path packages.

    For the detailed security status of node-object-path please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/node-object-path

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Ubuntu 18.04 LTS / 20.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-5967-1 advisory.

    It was discovered that the set() method in object-path could be corrupted as a result of prototype     pollution by sending a message to the parent process. An attacker could use this issue to cause object-     path to crash. (CVE-2020-15256, CVE-2021-23434, CVE-2021-3805)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 Debian 10 主机上安装的程序包受到 dla-3291 公告中提及的多个漏洞影响。

  - 在“object-path” 0.11.4 及其之前版本中发现一个影响“set()”方法的原型污染漏洞。该漏洞仅限于“includeInheritedProps”模式（如果使用版本 0.11.0 及更高版本 ），必须通过创建“object-path”的新实例并设置“includeInheritedProps: true“选项，或使用默认的“withInheritedProps”实例来显式启用该模式。如果使用 0.11.0 及更高版本，则默认操作模式不受此漏洞的影响。在低于 0.11.0 的版本中，任何使用“set()”的方法都容易受到攻击。此问题已在 object-path 0.11.5 版本中修复 。作为变通方案，不要使用“includeInheritedProps: true”选项，如果使用 0.11.0 或更高版本，则不要使用“withInheritedProps”实例。(CVE-2020-15256)

  - 这会影响 0.11.6 之前的 object-path 程序包。当路径参数中使用的路径组件为数组时，类型混淆漏洞可导致 CVE-2020-15256 绕过。特别是，如果 currentPath 为 ['__proto__']，则条件 currentPath === '__proto__' 将返回 false。这是因为当操作数的类型不同时，=== 运算符会一律返回 false。(CVE-2021-23434)

  - object-path 容易受到对象原型属性修改控制不当（“原型污染”）漏洞的影响 (CVE-2021-3805)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Debian 10 ホストには、dla-3291 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - プロトタイプ汚染の脆弱性が `set()` メソッドに影響する `object-path` <= 0.11.4で見つかりました。脆弱性は `includeInheritedProps` モードに限定され (バージョン> = 0.11.0 使用の場合)、`object-path` の新しいインスタンスを作成し、オプション `includeInheritedProps: true` を設定するか、デフォルトの `withInheritedProps` インスタンスを使用して明示的に有効になります。version >= 0.11.0 が使用されている場合、デフォルトの動作モードはこの脆弱性の影響を受けません。versions < 0.11.0 における `set()` の使用は脆弱です。この問題は object-path バージョン 0.11.5 で修正されており、回避策としては、`includeInheritedProps: true` オプションまたは `withInheritedProps` インスタンスは version >= 0.11.0 を使用する場合には使用しません。(CVE-2020-15256)

  - これは 0.11.6より前のパッケージ object-path に影響します。型の取り違え (Type Confusion) の脆弱性により、パスパラメーターで使用されるパスコンポーネントが配列である場合、CVE-2020-15256 のバイパスが発生する可能性があります。特に、条件 currentPath === '__proto__' は currentPath が ['__proto__'] の場合に false を返します。これは、オペランドの型が異なる場合、=== 演算子が常に false を返すためです。(CVE-2021-23434)

  - object-path は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3805)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 18.04 LTS /20.04 LTS ホストには、USN-5967-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - プロトタイプ汚染の脆弱性が `set()` メソッドに影響する `object-path` <= 0.11.4で見つかりました。脆弱性は `includeInheritedProps` モードに限定され (バージョン> = 0.11.0 使用の場合)、`object-path` の新しいインスタンスを作成し、オプション `includeInheritedProps: true` を設定するか、デフォルトの `withInheritedProps` インスタンスを使用して明示的に有効になります。version >= 0.11.0 が使用されている場合、デフォルトの動作モードはこの脆弱性の影響を受けません。versions < 0.11.0 における `set()` の使用は脆弱です。この問題は object-path バージョン 0.11.5 で修正されており、回避策としては、`includeInheritedProps: true` オプションまたは `withInheritedProps` インスタンスは version >= 0.11.0 を使用する場合には使用しません。(CVE-2020-15256)

  - これは 0.11.6より前のパッケージ object-path に影響します。型の取り違え (Type Confusion) の脆弱性により、パスパラメーターで使用されるパスコンポーネントが配列である場合、CVE-2020-15256 のバイパスが発生する可能性があります。特に、条件 currentPath === '__proto__' は currentPath が ['__proto__'] の場合に false を返します。これは、オペランドの型が異なる場合、=== 演算子が常に false を返すためです。(CVE-2021-23434)

  - object-path は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3805)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

遠端 Ubuntu 18.04 LTS/20.04 LTS 主機上安裝的一個套件受到 USN-5967-1 公告中所提及的多個弱點影響。

  - 在「object-path」0.11.4 及其之前版本中發現會影響「set()」方法的原型污染弱點。此弱點僅限於「includeInheritedProps」模式 (如果使用 0.11.0 或更高版本 )，必須透過建立「object-path」的新執行個體並設定選項「includeInheritedProps: true」，或使用預設的「withInheritedProps」執行個體，才能明確啓用此模式。如果使用 0.11.0 或更高版本，則預設作業模式不受此弱點影響。在 0.11.0 之前版本中，凡是使用「set()」方法者都存在弱點。此問題已在 object-path 0.11.5 版本中修正。因應措施為不使用「includeInheritedProps: true」選項，如果使用 0.11.0 或更高版本，則不使用「withInheritedProps」執行個體。(CVE-2020-15256)

  - 這會影響 0.11.6 之前的 object-path 套件。當路徑參數中使用的路徑元件是陣列時，類型混淆弱點可導致繞過 CVE-2020-15256。特別是，如果 currentPath 是 ['__proto__']，則條件 currentPath === '__proto__' 會傳回 false。這是因為當運算元類型不同時，=== 運算子將一律傳回 false。(CVE-2021-23434)

  - object-path 容易受到物件原型內容修改控制不當 (「原型污染」) 弱點的影響 (CVE-2021-3805)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 18.04 LTS / 20.04 LTS 主机上安装的程序包受到 USN-5967-1 公告中提及的多个漏洞的影响。

  - 在“object-path” 0.11.4 及其之前版本中发现一个影响“set()”方法的原型污染漏洞。该漏洞仅限于“includeInheritedProps”模式（如果使用版本 0.11.0 及更高版本 ），必须通过创建“object-path”的新实例并设置“includeInheritedProps: true“选项，或使用默认的“withInheritedProps”实例来显式启用该模式。如果使用 0.11.0 及更高版本，则默认操作模式不受此漏洞的影响。在低于 0.11.0 的版本中，任何使用“set()”的方法都容易受到攻击。此问题已在 object-path 0.11.5 版本中修复 。作为变通方案，不要使用“includeInheritedProps: true”选项，如果使用 0.11.0 或更高版本，则不要使用“withInheritedProps”实例。(CVE-2020-15256)

  - 这会影响 0.11.6 之前的 object-path 程序包。当路径参数中使用的路径组件为数组时，类型混淆漏洞可导致 CVE-2020-15256 绕过。特别是，如果 currentPath 为 ['__proto__']，则条件 currentPath === '__proto__' 将返回 false。这是因为当操作数的类型不同时，=== 运算符会一律返回 false。(CVE-2021-23434)

  - object-path 容易受到对象原型属性修改控制不当（“原型污染”）漏洞的影响 (CVE-2021-3805)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3291 公告中提及的多個弱點影響。

  - 在「object-path」0.11.4 及其之前版本中發現會影響「set()」方法的原型污染弱點。此弱點僅限於「includeInheritedProps」模式 (如果使用 0.11.0 或更高版本 )，必須透過建立「object-path」的新執行個體並設定選項「includeInheritedProps: true」，或使用預設的「withInheritedProps」執行個體，才能明確啓用此模式。如果使用 0.11.0 或更高版本，則預設作業模式不受此弱點影響。在 0.11.0 之前版本中，凡是使用「set()」方法者都存在弱點。此問題已在 object-path 0.11.5 版本中修正。因應措施為不使用「includeInheritedProps: true」選項，如果使用 0.11.0 或更高版本，則不使用「withInheritedProps」執行個體。(CVE-2020-15256)

  - 這會影響 0.11.6 之前的 object-path 套件。當路徑參數中使用的路徑元件是陣列時，類型混淆弱點可導致繞過 CVE-2020-15256。特別是，如果 currentPath 是 ['__proto__']，則條件 currentPath === '__proto__' 會傳回 false。這是因為當運算元類型不同時，=== 運算子將一律傳回 false。(CVE-2021-23434)

  - object-path 容易受到物件原型內容修改控制不當 (「原型污染」) 弱點的影響 (CVE-2021-3805)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
170884	Debian dla-3291 : node-object-path - security update	Nessus	Debian Local Security Checks	1/31/2023	1/22/2025	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS : object-path vulnerabilities (USN-5967-1)	Nessus	Ubuntu Local Security Checks	3/22/2023	8/28/2024	critical
170884	Debian DLA-3291-1：node-object-path - LTS 安全更新	Nessus	Debian Local Security Checks	1/31/2023	1/22/2025	critical
170884	Debian DLA-3291-1: node-object-path - LTS セキュリティ更新	Nessus	Debian Local Security Checks	1/31/2023	1/22/2025	critical
173269	Ubuntu 18.04LTS / 20.04LTS: オブジェクトパスの脆弱性 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	3/22/2023	8/28/2024	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS：object-path 弱點 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	3/22/2023	8/28/2024	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS：object-path 漏洞 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	3/22/2023	8/28/2024	critical
170884	Debian DLA-3291-1：node-object-path - LTS 安全性更新	Nessus	Debian Local Security Checks	1/31/2023	1/22/2025	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical