Alta

Prototype pollution in min-dash

Publicada: 01.02.2022
Actualizado: 11.10.2026 12:21

Impact

The set method is vulnerable to prototype pollution with specially crafted inputs.

// insert the following into poc.js and run node poc,js (after installing the package)
 
let parser = require("min-dash");
parser.set({}, [["__proto__"], "polluted"], "success");
console.log(polluted);

Patches

min-dash>=3.8.1 fix the issue.

Workarounds

No workarounds exist for the issue.

References

Closed via https://github.com/bpmn-io/min-dash/pull/21.

Credits

Credits to Cristian-Alexandru STAICU who found the vulnerability and to Idan Digmi from the Snyk Security Team who reported the vulnerability to us, responsibly.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.webjars.npm:min-dash	< 3.8.1	3.8.1
Paquete de npm	min-dash	< 3.8.1	3.8.1

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-1321
Plataforma: Java / Kotlin (Maven), npm
Paquete: org.webjars.npm:min-dash, min-dash
Publicada: 01.02.2022
Actualizado: 11.10.2026 12:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-2m53-83f3-562j - CC BY 4.0

Historial de vulnerabilidades: min-dash

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación