Baja

Prototype Pollution in Dojox

Publicada: 10.03.2020
Actualizado: 11.10.2026 10:22

The Dojox jQuery wrapper jqMix mixin method is vulnerable to Prototype Pollution.

Affected Area:

//https://github.com/dojo/dojox/blob/master/jq.js#L442
		var tobj = {};
		for(var x in props){
			// the "tobj" condition avoid copying properties in "props"
			// inherited from Object.prototype.  For example, if obj has a custom
			// toString() method, don't overwrite it with the toString() method
			// that props inherited from Object.prototype
			if((tobj[x] === undefined || tobj[x] != props[x]) && props[x] !== undefined && obj != props[x]){
				if(dojo.isObject(obj[x]) && dojo.isObject(props[x])){
					if(dojo.isArray(props[x])){
						obj[x] = props[x];
					}else{
						obj[x] = jqMix(obj[x], props[x]);
					}
				}else{
					obj[x] = props[x];
				}

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	dojox	< 1.11.10, >= 1.12.0, < 1.12.8, >= 1.13.0, < 1.13.7, >= 1.14.0, < 1.14.6, >= 1.15.0, < 1.15.3, >= 1.16.0, < 1.16.2	1.11.10, 1.12.8, 1.13.7, 1.14.6, 1.15.3, 1.16.2

Referencias

Puntuación CVSS 7.7/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N
Debilidad (CWE): CWE-94
Plataforma: npm
Paquete: dojox
Publicada: 10.03.2020
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-3hw5-q855-g6cw - CC BY 4.0

Historial de vulnerabilidades: dojox

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 3
Primera → última: 10.2018 03.2020
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 1
Media 1
Baja 1

Divulgaciones por año

2018: 1
2019: 0
2020: 2
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

10.03.2020

Prototype Pollution in Dojox esta entrada

Baja · 7.7 CVE-2020-5259 < 1.11.10, >= 1.12.0, < 1.12.8, >= 1.13.0, < 1.13.7, >= 1.14.0, < 1.14.6, >= 1.15.0, < 1.15.3, >= 1.16.0, < 1.16.2 1.11.10, 1.12.8, 1.13.7, 1.14.6, 1.15.3, 1.16.2
13.02.2020

XSS in dojox due to insufficient escape in dojox.xmpp.util.xmlEncode

Media · 6.1 CVE-2019-10785 < 1.11.9, >= 1.12.0, < 1.12.7, >= 1.13.0, < 1.13.6, >= 1.14.0, < 1.14.5, >= 1.15.0, < 1.15.2, >= 1.16.0, < 1.16.1 1.11.9, 1.12.7, 1.13.6, 1.14.5, 1.15.2, 1.16.1
15.10.2018

dojox vulnerable to unescaped string injection

Crítica · 9.8 CVE-2018-15494 < 1.14.0 1.14.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación