p PatchFirst

CVE-2026-27837

CVE-2026-27837 · Dottie vulnerable to prototype pollution bypass via non-first path segments in set() and transform()

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Dottie provides nested object access and manipulation in JavaScript. Versions 2.0.4 through 2.0.6 contain an incomplete fix for CVE-2023-26132. The prototype pollution guard introduced in commit `7d3aee1` only validates the first segment of a dot-separated path, allowing an attacker to bypass the protection by placing `__proto__` at any position other than the first. Both `dottie.set()` and `dottie.transform()` are affected. Version 2.0.7 contains an updated fix to address the residual vulnerability.

CVSS 6.3 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • dottie.js

    Versiones
    • >= 2.0.4, < 2.0.7: Afectada

    Sin corrección publicada

  • node-dottie Debian:12

    Versiones
    • 2.0.2-4
    • 2.0.2-4+deb12u1
    • 2.0.6+~2.0.5-1
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Debian:13

    Versiones
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Debian:14

    Versiones
    • 2.0.6+~2.0.5-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.0.7+~2.0.7-1

    Actualiza a 2.0.7+~2.0.7-1

  • dottie npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 2.0.4, < 2.0.7

    Actualiza a 2.0.7

  • node-dottie Ubuntu:Pro:20.04:LTS

    Versiones
    • 2.0.2-1
    • 2.0.2-1ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Ubuntu:Pro:22.04:LTS

    Versiones
    • 2.0.2-1
    • 2.0.2-3
    • 2.0.2-4
    • 2.0.2-4ubuntu0.1~esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Ubuntu:24.04:LTS

    Versiones
    • 2.0.6+~2.0.5-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Ubuntu:25.10

    Versiones
    • 2.0.6+~2.0.5-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Ubuntu:26.10

    Versiones
    • 2.0.7+~2.0.7-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dottie Ubuntu:26.04:LTS

    Versiones
    • 2.0.6+~2.0.5-2
    • 2.0.7+~2.0.7-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →