StableLib cbor: Prototype Pollution über __proto__-Map-Schlüssel bei CBOR-Dekodierung
Zusammenfassung
Das npm-Paket @stablelib/cbor für JavaScript und TypeScript erstellt beim Dekodieren von CBOR-Maps gewöhnliche Objekte und weist angreifergesteuerte Schlüssel per Klammerzuweisung zu. Ein Map-Schlüssel mit dem Namen __proto__ setzt dabei den geerbten Prototyp statt einer eigenen Eigenschaft, sodass angreifergelieferte Werte als geerbte Eigenschaften des dekodierten Objekts erscheinen. Ein Angreifer, der präparierte CBOR-Daten an eine Anwendung senden kann, die geerbten Eigenschaften vertraut oder das dekodierte Objekt zusammenführt, kann so Sicherheitsentscheidungen wie Berechtigungen oder Feature-Flags beeinflussen. Gemäss CISA-SSVC-Daten ist keine Ausnutzung bekannt und das Ausnutzen ist nicht automatisierbar.
Betroffen
- @stablelib/cbor-Versionen vor 2.0.4 (CVE-Eintrag und OSV)
- Hinweis: Der GitHub-Advisory-Spiegel nennt 2.0.3 als Korrektur; der Widerspruch ist ungeklärt, daher gilt 2.0.4 als Mindestversion
Behoben in
- Version 2.0.4 (gemäss CVE-Eintrag und Release-Tag)
- Version 2.0.5 ist die neueste veröffentlichte Version; auf diese aktualisieren
Umgehung
- Kein Workaround des Herstellers; das Aktualisieren ist die Behebung
- Falls ein Update nicht sofort möglich ist: Geerbten Eigenschaften dekodierter Daten nicht vertrauen, eigene Eigenschaften explizit prüfen und __proto__-Schlüssel an der Eingabegrenze ablehnen oder entfernen
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar
- Nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof of Concept gefunden; keine bekannte aktive Ausnutzung
Unsere Empfehlung
- npm ls @stablelib/cbor über alle Node.js-Projekte und Lockfiles ausführen
- Betroffene Projekte auf 2.0.5 oder die neueste Version aktualisieren, nicht nur auf 2.0.4
- Aussenstehend erreichbare Dienste priorisieren, die CBOR aus nicht vertrauenswürdigen Quellen dekodieren und das Ergebnis für Zugriffskontrollen verwenden
- Code prüfen, der dekodierte Objekte zusammenführt oder auf geerbte Eigenschaften vertraut
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub security advisory GHSA-w48f-fwg7-ww6p github.com
- Release @stablelib/cbor@2.0.4 github.com
- Fix commit 0f153a6 github.com
- OSV vulnerability record osv.dev
- OpenCVE CVE record app.opencve.io
- GHSA mirror (GitLab Advisory Database) advisories.gitlab.com
- npm package @stablelib/cbor www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.