dot-access: Prototype Pollution in set() über manipulierten Punktpfad
Zusammenfassung
Die npm-Bibliothek dot-access bis einschliesslich Version 1.0.0 filtert in ihrer Funktion set() keine Prototyp-Schlüssel. Ein Angreifer, der den Punktpfad kontrolliert, etwa über vom Benutzer gelieferte Feldnamen, kann mit __proto__-Segmenten Object.prototype und damit alle Objekte im Node.js-Prozess verändern. Dadurch können Berechtigungsflags oder Optionsstandardwerte verändert oder der Prozess zum Absturz gebracht werden. Das Paket scheint nicht mehr gepflegt zu sein, und eine korrigierte Version ist nicht bekannt.
Betroffen
- dot-access, Versionen 0 bis 1.0.0 (gemäss CVE-Eintrag und Aggregatorquellen)
Behoben in
Unbekannt. Es wurde keine korrigierte Version und keine Herstellerstellungnahme gefunden.
Umgehung
- Keine unvertrauenswürdigen Eingaben als Punktpfade an set() übergeben.
- Falls Eingaben akzeptiert werden müssen, Pfade mit __proto__, prototype oder constructor ablehnen.
- Lockfiles mit npm ls dot-access prüfen, da das Paket häufig als transitive Abhängigkeit vorkommt.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS 0.00325.
- Keine Hinweise auf bekannte Ausnutzung gefunden.
- Öffentlicher Proof of Concept nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob dot-access direkt oder als transitive Abhängigkeit eingesetzt wird (npm ls dot-access, Lockfiles, ausgerollte Manifeste).
- Das Paket entfernen oder durch eine gepflegte Alternative ersetzen.
- Bis dahin sicherstellen, dass keine unvertrauenswürdigen Eingaben als Punktpfad an set() gelangen.
- Auf eine offizielle Korrektur achten und NVD prüfen, sobald die Analyse veröffentlicht ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulnCheck advisory www.vulncheck.com
- Maintainer issue #5 (ntharim/dot-access) github.com
- Vulnerable code at tag v1.0.0 github.com
- OSV record CVE-2026-107701 osv.dev
- HOL advisory feed hol.org
- Socket package report socket.dev
- npm package page www.npmjs.com
- Mend vulnerability record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:11.
Referenzen der NVD (5)
- https://gist.github.com/R3tro16/e094e4318a040f189fd5d2d33e8c3ec2
- https://github.com/ntharim/dot-access
- https://github.com/ntharim/dot-access/blob/v1.0.0/index.js#L9-L18
- https://github.com/ntharim/dot-access/issues/5
- https://www.vulncheck.com/advisories/dot-access-through-1.0.0-prototype-pollution-via-set-path-argument
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.