جزئیات آسیب‌پذیری

CVE-2026-25521

locutusjs locutus

Locutus is vulnerable to Prototype Pollution

CVSS 4.0

9.4بحرانی

شرح رسمی (انگلیسی)

Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. In versions from 2.0.12 to before 2.0.39, a prototype pollution vulnerability exists in locutus. Despite a previous fix that attempted to mitigate prototype pollution by checking whether user input contained a forbidden key, it is still possible to pollute Object.prototype via a crafted input using String.prototype. This issue has been patched in version 2.0.39.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.4بحرانی	4.0	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H`
9.3بحرانی	3.1	CVEProject cvelistV5 (CNA) (redhat-SADP)	`CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
locutusjs	locutus	>= 2.0.12, < 2.0.39	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/locutusjs/locutus/security/advisories/GHSA-rxrv-835q-v5mh x_refsource_CONFIRM
https://github.com/locutusjs/locutus/commit/042af9ca7fde2ff599120783e720a17f335bb01c x_refsource_MISC
https://access.redhat.com/security/cve/CVE-2026-25521 vdb-entryx_refsource_REDHAT
https://bugzilla.redhat.com/show_bug.cgi?id=2436950 issue-trackingx_refsource_REDHAT
https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-25521.json x_sadp-csaf-vex

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۴/۱۱/۱۶
آخرین به‌روزرسانی: ۱۴۰۵/۰۴/۲۴
وضعیت: منتشرشده
صادرکننده (CNA): GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۳۱٪

احتمال بهره‌برداری در ۳۰ روز

۲۴٫۵٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-1321
Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution')
CWE-915
Improperly Controlled Modification of Dynamically-Determined Object Attributes