Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

CVE-2026-93753 (High) detected in deepmerge-2.2.1.tgz

Aperta Adatta ai principianti
  • Qualcosa non va?
#392 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
2/5
Tempo stimato
1-3 ore
Idoneità per principianti
75/100
Tipo di issue
Bug
Chiarezza
Specificata chiaramente
Stato di attività
Attiva
Stack tecnologico
javascript, nodejs
Ambito
security

Direzione di ricerca

La vulnerabilità si trova nella libreria deepmerge utilizzata da formik nell'interfaccia utente. Controlla /ui/package.json per la catena delle dipendenze e verifica se deepmerge è una dipendenza diretta o transitiva. Aggiorna deepmerge a una versione patchata (probabilmente 4.3.2 o superiore) nel file package.json, esegui npm install o pnpm install e verifica la correzione controllando il file di blocco ed eseguendo eventuali test esistenti per l'interfaccia utente.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Mend: dependency security vulnerability

CVE-2026-93753 - High Severity Vulnerability

Vulnerable Library - deepmerge-2.2.1.tgz

A library for deep (recursive) merging of Javascript objects

Library home page: https://registry.npmjs.org/deepmerge/-/deepmerge-2.2.1.tgz

Sample Path to Dependency File: /ui/package.json

Path to vulnerable library: /ui/node_modules/.pnpm/[email protected]/node_modules/deepmerge/package.json

Dependency Hierarchy:

  • @⁠postgres.ai/ce-4.0.3.tgz (Root Library)
    • formik-2.4.9.tgz
      • ❌ deepmerge-2.2.1.tgz (Vulnerable Library)

Found in base branch: master

Vulnerability Details

deepmerge through 4.3.1 contains a prototype poisoning vulnerability in the mergeObject() function that fails to properly validate keys being written to target objects. Attackers can supply malicious source objects in merge operations to inject attacker-controlled properties into the returned object's prototype, causing applications to inherit unintended values when accessing properties without own-property checks.

Publish Date: 2026-09-18

URL: CVE-2026-93753

CVSS 3 Score Details (7.5)

Base Score Metrics:

  • Exploitability Metrics:
    • Attack Vector: Network
    • Attack Complexity: Low
    • Privileges Required: None
    • User Interaction: None
    • Scope: Unchanged
  • Impact Metrics:
    • Confidentiality Impact: None
    • Integrity Impact: High
    • Availability Impact: None

For more information on CVSS3 Scores, click here.

Step up your Open Source Security Game with Mend here

Lingua principale
Go
Stelle
2.8k
Fork
89
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di postgres-ai/database-lab-engine

Tutte le issue di postgres-ai/database-lab-engine

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.