リモートの Ubuntu 18.04 LTS /20.04 LTS ホストには、USN-5967-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - プロトタイプ汚染の脆弱性が `set()` メソッドに影響する `object-path` <= 0.11.4で見つかりました。脆弱性は `includeInheritedProps` モードに限定され (バージョン> = 0.11.0 使用の場合)、`object-path` の新しいインスタンスを作成し、オプション `includeInheritedProps: true` を設定するか、デフォルトの `withInheritedProps` インスタンスを使用して明示的に有効になります。version >= 0.11.0 が使用されている場合、デフォルトの動作モードはこの脆弱性の影響を受けません。versions < 0.11.0 における `set()` の使用は脆弱です。この問題は object-path バージョン 0.11.5 で修正されており、回避策としては、`includeInheritedProps: true` オプションまたは `withInheritedProps` インスタンスは version >= 0.11.0 を使用する場合には使用しません。(CVE-2020-15256)

  - これは 0.11.6より前のパッケージ object-path に影響します。型の取り違え (Type Confusion) の脆弱性により、パスパラメーターで使用されるパスコンポーネントが配列である場合、CVE-2020-15256 のバイパスが発生する可能性があります。特に、条件 currentPath === '__proto__' は currentPath が ['__proto__'] の場合に false を返します。これは、オペランドの型が異なる場合、=== 演算子が常に false を返すためです。(CVE-2021-23434)

  - object-path は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3805)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3291 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - プロトタイプ汚染の脆弱性が `set()` メソッドに影響する `object-path` <= 0.11.4で見つかりました。脆弱性は `includeInheritedProps` モードに限定され (バージョン> = 0.11.0 使用の場合)、`object-path` の新しいインスタンスを作成し、オプション `includeInheritedProps: true` を設定するか、デフォルトの `withInheritedProps` インスタンスを使用して明示的に有効になります。version >= 0.11.0 が使用されている場合、デフォルトの動作モードはこの脆弱性の影響を受けません。versions < 0.11.0 における `set()` の使用は脆弱です。この問題は object-path バージョン 0.11.5 で修正されており、回避策としては、`includeInheritedProps: true` オプションまたは `withInheritedProps` インスタンスは version >= 0.11.0 を使用する場合には使用しません。(CVE-2020-15256)

  - これは 0.11.6より前のパッケージ object-path に影響します。型の取り違え (Type Confusion) の脆弱性により、パスパラメーターで使用されるパスコンポーネントが配列である場合、CVE-2020-15256 のバイパスが発生する可能性があります。特に、条件 currentPath === '__proto__' は currentPath が ['__proto__'] の場合に false を返します。これは、オペランドの型が異なる場合、=== 演算子が常に false を返すためです。(CVE-2021-23434)

  - object-path は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3805)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

The remote Ubuntu 18.04 LTS / 20.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-5967-1 advisory.

  - A prototype pollution vulnerability has been found in `object-path` <= 0.11.4 affecting the `set()`     method. The vulnerability is limited to the `includeInheritedProps` mode (if version >= 0.11.0 is used),     which has to be explicitly enabled by creating a new instance of `object-path` and setting the option     `includeInheritedProps: true`, or by using the default `withInheritedProps` instance. The default     operating mode is not affected by the vulnerability if version >= 0.11.0 is used. Any usage of `set()` in     versions < 0.11.0 is vulnerable. The issue is fixed in object-path version 0.11.5 As a workaround, don't     use the `includeInheritedProps: true` options or the `withInheritedProps` instance if using a version >=     0.11.0. (CVE-2020-15256)

  - This affects the package object-path before 0.11.6. A type confusion vulnerability can lead to a bypass of     CVE-2020-15256 when the path components used in the path parameter are arrays. In particular, the     condition currentPath === '__proto__' returns false if currentPath is ['__proto__']. This is because the     === operator returns always false when the type of the operands is different. (CVE-2021-23434)

  - object-path is vulnerable to Improperly Controlled Modification of Object Prototype Attributes ('Prototype     Pollution') (CVE-2021-3805)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has a package installed that is affected by multiple vulnerabilities as referenced in the dla-3291 advisory.

  - A prototype pollution vulnerability has been found in `object-path` <= 0.11.4 affecting the `set()`     method. The vulnerability is limited to the `includeInheritedProps` mode (if version >= 0.11.0 is used),     which has to be explicitly enabled by creating a new instance of `object-path` and setting the option     `includeInheritedProps: true`, or by using the default `withInheritedProps` instance. The default     operating mode is not affected by the vulnerability if version >= 0.11.0 is used. Any usage of `set()` in     versions < 0.11.0 is vulnerable. The issue is fixed in object-path version 0.11.5 As a workaround, don't     use the `includeInheritedProps: true` options or the `withInheritedProps` instance if using a version >=     0.11.0. (CVE-2020-15256)

  - This affects the package object-path before 0.11.6. A type confusion vulnerability can lead to a bypass of     CVE-2020-15256 when the path components used in the path parameter are arrays. In particular, the     condition currentPath === '__proto__' returns false if currentPath is ['__proto__']. This is because the     === operator returns always false when the type of the operands is different. (CVE-2021-23434)

  - object-path is vulnerable to Improperly Controlled Modification of Object Prototype Attributes ('Prototype     Pollution') (CVE-2021-3805)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程 18.04 LTS / 20.04 LTS 主机上安装的程序包受到 USN-5967-1 公告中提及的多个漏洞的影响。

  - 在“object-path” 0.11.4 及其之前版本中发现一个影响“set()”方法的原型污染漏洞。该漏洞仅限于“includeInheritedProps”模式（如果使用版本 0.11.0 及更高版本 ），必须通过创建“object-path”的新实例并设置“includeInheritedProps: true“选项，或使用默认的“withInheritedProps”实例来显式启用该模式。如果使用 0.11.0 及更高版本，则默认操作模式不受此漏洞的影响。在低于 0.11.0 的版本中，任何使用“set()”的方法都容易受到攻击。此问题已在 object-path 0.11.5 版本中修复 。作为变通方案，不要使用“includeInheritedProps: true”选项，如果使用 0.11.0 或更高版本，则不要使用“withInheritedProps”实例。(CVE-2020-15256)

  - 这会影响 0.11.6 之前的 object-path 程序包。当路径参数中使用的路径组件为数组时，类型混淆漏洞可导致 CVE-2020-15256 绕过。特别是，如果 currentPath 为 ['__proto__']，则条件 currentPath === '__proto__' 将返回 false。这是因为当操作数的类型不同时，=== 运算符会一律返回 false。(CVE-2021-23434)

  - object-path 容易受到对象原型属性修改控制不当（“原型污染”）漏洞的影响 (CVE-2021-3805)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 18.04 LTS/20.04 LTS 主機上安裝的一個套件受到 USN-5967-1 公告中所提及的多個弱點影響。

  - 在「object-path」0.11.4 及其之前版本中發現會影響「set()」方法的原型污染弱點。此弱點僅限於「includeInheritedProps」模式 (如果使用 0.11.0 或更高版本 )，必須透過建立「object-path」的新執行個體並設定選項「includeInheritedProps: true」，或使用預設的「withInheritedProps」執行個體，才能明確啓用此模式。如果使用 0.11.0 或更高版本，則預設作業模式不受此弱點影響。在 0.11.0 之前版本中，凡是使用「set()」方法者都存在弱點。此問題已在 object-path 0.11.5 版本中修正。因應措施為不使用「includeInheritedProps: true」選項，如果使用 0.11.0 或更高版本，則不使用「withInheritedProps」執行個體。(CVE-2020-15256)

  - 這會影響 0.11.6 之前的 object-path 套件。當路徑參數中使用的路徑元件是陣列時，類型混淆弱點可導致繞過 CVE-2020-15256。特別是，如果 currentPath 是 ['__proto__']，則條件 currentPath === '__proto__' 會傳回 false。這是因為當運算元類型不同時，=== 運算子將一律傳回 false。(CVE-2021-23434)

  - object-path 容易受到物件原型內容修改控制不當 (「原型污染」) 弱點的影響 (CVE-2021-3805)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 10 主機上安裝的一個套件受到 dla-3291 公告中提及的多個弱點影響。

  - 在「object-path」0.11.4 及其之前版本中發現會影響「set()」方法的原型污染弱點。此弱點僅限於「includeInheritedProps」模式 (如果使用 0.11.0 或更高版本 )，必須透過建立「object-path」的新執行個體並設定選項「includeInheritedProps: true」，或使用預設的「withInheritedProps」執行個體，才能明確啓用此模式。如果使用 0.11.0 或更高版本，則預設作業模式不受此弱點影響。在 0.11.0 之前版本中，凡是使用「set()」方法者都存在弱點。此問題已在 object-path 0.11.5 版本中修正。因應措施為不使用「includeInheritedProps: true」選項，如果使用 0.11.0 或更高版本，則不使用「withInheritedProps」執行個體。(CVE-2020-15256)

  - 這會影響 0.11.6 之前的 object-path 套件。當路徑參數中使用的路徑元件是陣列時，類型混淆弱點可導致繞過 CVE-2020-15256。特別是，如果 currentPath 是 ['__proto__']，則條件 currentPath === '__proto__' 會傳回 false。這是因為當運算元類型不同時，=== 運算子將一律傳回 false。(CVE-2021-23434)

  - object-path 容易受到物件原型內容修改控制不當 (「原型污染」) 弱點的影響 (CVE-2021-3805)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 10 主机上安装的程序包受到 dla-3291 公告中提及的多个漏洞影响。

  - 在“object-path” 0.11.4 及其之前版本中发现一个影响“set()”方法的原型污染漏洞。该漏洞仅限于“includeInheritedProps”模式（如果使用版本 0.11.0 及更高版本 ），必须通过创建“object-path”的新实例并设置“includeInheritedProps: true“选项，或使用默认的“withInheritedProps”实例来显式启用该模式。如果使用 0.11.0 及更高版本，则默认操作模式不受此漏洞的影响。在低于 0.11.0 的版本中，任何使用“set()”的方法都容易受到攻击。此问题已在 object-path 0.11.5 版本中修复 。作为变通方案，不要使用“includeInheritedProps: true”选项，如果使用 0.11.0 或更高版本，则不要使用“withInheritedProps”实例。(CVE-2020-15256)

  - 这会影响 0.11.6 之前的 object-path 程序包。当路径参数中使用的路径组件为数组时，类型混淆漏洞可导致 CVE-2020-15256 绕过。特别是，如果 currentPath 为 ['__proto__']，则条件 currentPath === '__proto__' 将返回 false。这是因为当操作数的类型不同时，=== 运算符会一律返回 false。(CVE-2021-23434)

  - object-path 容易受到对象原型属性修改控制不当（“原型污染”）漏洞的影响 (CVE-2021-3805)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
173269	Ubuntu 18.04LTS / 20.04LTS: オブジェクトパスの脆弱性 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	2023/3/22	2023/10/16	critical
170884	Debian DLA-3291-1: node-object-path - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS : object-path vulnerabilities (USN-5967-1)	Nessus	Ubuntu Local Security Checks	2023/3/22	2023/10/16	critical
170884	Debian DLA-3291-1 : node-object-path - LTS security update	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS：object-path 漏洞 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	2023/3/22	2023/10/16	critical
173269	Ubuntu 18.04 LTS / 20.04 LTS：object-path 弱點 (USN-5967-1)	Nessus	Ubuntu Local Security Checks	2023/3/22	2023/10/16	critical
170884	Debian DLA-3291-1：node-object-path - LTS 安全性更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical
170884	Debian DLA-3291-1：node-object-path - LTS 安全更新	Nessus	Debian Local Security Checks	2023/1/31	2023/9/5	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical