yayson: Prototype pollution in Store/LegacyStore deserialization — GHSA-325J-MG25-8Q58

Zusammenfassung

# Summary `Store`/`LegacyStore` key internal lookup tables by the `type`, `id`, and relationship names from a JSON:API document. Because these were plain objects, a document with `type: "__proto__"` writes onto `Object.prototype`, polluting every object in the process. # Severity Suggested CVSS v3.1 `AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H` (8.1). The guaranteed impact is process-wide DoS / logic corruption; escalation…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-09-11

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: kritisch.
• Gemeldeter CVSS-Wert: 9.1 von 10.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: yayson.

Produkt

npm: yayson

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-325J-MG25-8Q58

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-09-11

Letzte Quellenaktivität

2026-09-11

Weitere Kennungen

CVE-2026-61534

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.