p PatchFirst

CVE-2026-27837

CVE-2026-27837 · Dottie vulnerable to prototype pollution bypass via non-first path segments in set() and transform()

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Dottie provides nested object access and manipulation in JavaScript. Versions 2.0.4 through 2.0.6 contain an incomplete fix for CVE-2023-26132. The prototype pollution guard introduced in commit `7d3aee1` only validates the first segment of a dot-separated path, allowing an attacker to bypass the protection by placing `__proto__` at any position other than the first. Both `dottie.set()` and `dottie.transform()` are affected. Version 2.0.7 contains an updated fix to address the residual vulnerability.

CVSS 6.3 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · node

Betroffene Produkte und Versionen

  • dottie.js

    Softwareversionen
    • >= 2.0.4, < 2.0.7: Betroffen

    Keine Korrektur veröffentlicht

  • node-dottie Debian:12

    Softwareversionen
    • 2.0.2-4
    • 2.0.2-4+deb12u1
    • 2.0.6+~2.0.5-1
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Debian:13

    Softwareversionen
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Debian:14

    Softwareversionen
    • 2.0.6+~2.0.5-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.0.7+~2.0.7-1

    Auf 2.0.7+~2.0.7-1 aktualisieren

  • dottie npm

    Betroffene Versionsbereiche
    • SEMVER: ≥ 2.0.4, < 2.0.7

    Auf 2.0.7 aktualisieren

  • node-dottie Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 2.0.2-1
    • 2.0.2-1ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 2.0.2-1
    • 2.0.2-3
    • 2.0.2-4
    • 2.0.2-4ubuntu0.1~esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Ubuntu:24.04:LTS

    Softwareversionen
    • 2.0.6+~2.0.5-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Ubuntu:25.10

    Softwareversionen
    • 2.0.6+~2.0.5-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Ubuntu:26.10

    Softwareversionen
    • 2.0.7+~2.0.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • node-dottie Ubuntu:26.04:LTS

    Softwareversionen
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →