6.3
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
Описание
Оригинално описание
Joi 17.13.6 before 17.13.9 and 18.2.5 before 18.3.1 contains a prototype pollution vulnerability in lib/messages.js compile() and merge() that fails to reject a __proto__ language key. Attackers supplying untrusted message configuration via any().messages(), prefs, validate options or Joi.extend can replace the compiled messages prototype, altering or breaking validation error rendering and dependent logic.
Засегнати продукти
- hapijs joi: 17.13.6 преди 17.13.9; 18.2.5 преди 18.3.1
Вид слабост
История
- 4 ноември 2026 Публикувано
Други уязвимости в hapijs joi
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-122131
- https://nvd.nist.gov/vuln/detail/CVE-2026-122131
- https://github.com/hapijs/joi/commit/76f5771e1afe527cfda24be0e1a920ffa54888d6
- https://github.com/hapijs/joi
- https://github.com/hapijs/joi/commit/dae9467cec27e787bfdea8b276595177d52d28ec
- https://github.com/hapijs/joi/pull/3164
- https://github.com/hapijs/joi/security/advisories/GHSA-6w3j-5fw6-r9vr
- https://github.com/hapijs/joi/blob/v18.3.0/lib/messages.js#L64-L67
- https://www.vulncheck.com/advisories/joi-17.13.6-before-17.13.9-and-18.2.5-before-18.3.1-prototype-replacement-via-proto-language-key