@rvf/set-get: Prototype Pollution in setPath ermöglicht Denial of Service

Zusammenfassung

Das npm-Paket @rvf/set-get vor 7.0.4 enthält eine Prototype-Pollution-Schwachstelle in seiner Funktion setPath, mit der RVF übermittelte Formularfelder in verschachtelte Objekte umwandelt. Ein nicht authentifizierter Angreifer kann ein Formularfeld mit dem Namen hasOwnProperty.call übermitteln und so eine gemeinsam genutzte eingebaute Funktion überschreiben, wodurch der Node.js-Prozess bis zum Neustart abstürzen kann. Die Auswirkung betrifft nur die Verfügbarkeit, und für den Angriff ist kein Login und keine besondere Konfiguration über einen RVF-basierten Formularpfad hinaus nötig.

Betroffen

• @rvf/set-get-Versionen vor 7.0.4 (CVE-Eintrag: 0 bis < 7.0.4)
• Pakete, die von @rvf/set-get abhängen, etwa @rvf/core, sofern sie die verwundbare Version verwenden
• Verwandtes früheres Problem CVE-2026-44483: Die Versionen 7.0.2 und 7.0.3 sind von dieser CVE ebenfalls betroffen
• Ob Versionen 6.x betroffen sind, ist unklar, da der Bereich sie einschliesst; sie sind als betroffen zu behandeln

Behoben in

• @rvf/set-get auf Version 7.0.4 oder neuer aktualisieren

Umgehung

• Der Hersteller dokumentiert keine Workaround-Massnahme; das Update ist die Behebung.
• Falls ein Update verzögert wird, kann erwogen werden, Formularfeldnamen mit __proto__, constructor, prototype oder hasOwnProperty an einem Reverse Proxy oder einer WAF abzulehnen. Dies ist keine Empfehlung des Herstellers und muss vorher getestet werden.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn in den geprüften Quellen.
• Kein öffentlicher Proof of Concept in den geprüften Quellen gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Repositories und Build-Artefakte auf @rvf/set-get, @rvf/core und verwandte RVF-Pakete prüfen.
• Auf @rvf/set-get 7.0.4 oder neuer aktualisieren und Anwendungen neu bereitstellen, auch solche mit 7.0.2 und 7.0.3.
• Betroffene Dienste nach dem Patchen neu starten und auf unerwartete Prozessabstürze oder Neustarts achten.
• Öffentlich erreichbare Remix-, React-Router- oder andere RVF-basierte Webanwendungen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OSV: CVE-2026-112309 osv.dev
• VulnCheck advisory: @rvf/set-get prototype pollution via setPath www.vulncheck.com
• Fix commit 4a5e118 in airjp73/rvf github.com
• setPath.ts at 61172ff github.com
• flatten.ts at 61172ff github.com
• OSV: GHSA-c567-44rc-m5hq (related CVE-2026-44483) osv.dev
• VulDB: CVE-2026-112309 vuldb.com
• OpenCVE: CVE-2026-112309 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:02.