Media

Type confusion in mpath

Publicada: 02.09.2021
Actualizado: 11.10.2026 10:22

This affects the package mpath before 0.8.4. A type confusion vulnerability can lead to a bypass of CVE-2018-16490. In particular, the condition ignoreProperties.indexOf(parts[i]) !== -1 returns -1 if parts[i] is ['__proto__']. This is because the method that has been called if the input is an array is Array.prototype.indexOf() and not String.prototype.indexOf(). They behave differently depending on the type of the input.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de npm	mpath	< 0.8.4	0.8.4

Referencias

Puntuación CVSS 5.6/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L
Debilidad (CWE): CWE-843
Plataforma: npm
Paquete: mpath
Publicada: 02.09.2021
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-p92x-r36w-9395 - CC BY 4.0

Historial de vulnerabilidades: mpath

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 2
Primera → última: 02.2019 09.2021
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 1

Divulgaciones por año

2019: 1
2020: 0
2021: 1
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

02.09.2021

Type confusion in mpath esta entrada

Media · 5.6 CVE-2021-23438 < 0.8.4 0.8.4
07.02.2019

Prototype Pollution in mpath

Alta · 7.5 CVE-2018-16490 < 0.5.1 0.5.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación