CVE-2026-24888: Maker.js (Microsoft): poluição de protótipo em extendObject
A biblioteca Maker.js, da Microsoft, usada para modelagem vetorial 2D de desenhos e formas em cortadoras CNC e a laser, apresenta uma falha de poluição de protótipo (CWE-1321) na função extendObject nas versões até a 0.19.1 inclusive. A função copia propriedades sem verificação com hasOwnProperty e sem filtrar chaves perigosas. Há um patch em commit que deve estar presente na versão 0.19.2.
Visão geral
A CVE-2026-24888 afeta o Microsoft Maker.js, uma biblioteca JavaScript para desenho vetorial 2D e modelagem de formas voltada a cortadoras CNC e a laser. A falha é classificada como poluição de protótipo (CWE-1321) na função extendObject, que copia propriedades de objetos de origem sem as verificações que normalmente limitariam o que pode ser copiado.
Impacto
O registro informa que a falha pode expor aplicações a riscos de segurança. Como a função copia propriedades herdadas e não filtra chaves perigosas, propriedades maliciosas podem ser gravadas em objetos de destino. As consequências concretas dependem de como cada aplicação usa a função e não estão detalhadas nas fontes disponíveis.
- A NVD lista pontuação base CVSS 3.1 de 9,8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
- A entrada do CNA GitHub no registro lista pontuação CVSS 3.1 de 6,5.
Produtos e versões afetadas
- Microsoft Maker.js, versões até a 0.19.1 inclusive.
- O registro não confirma uma versão corrigida lançada. O commit de correção deve fazer parte da versão 0.19.2.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. A referência de aviso do GitHub traz a etiqueta Exploit no registro, mas o registro não descreve nenhuma atividade de exploração, por isso essa etiqueta deve ser verificada diretamente no aviso.
Correção e mitigação
- Planeje a atualização para o Maker.js 0.19.2 ou versão posterior, assim que a versão for publicada e confirmada pelo aviso do fornecedor.
- Até lá, analise o commit de correção e avalie se ele pode ser aplicado à versão em uso.
- Revise o código de aplicações que enviam dados de fontes não confiáveis para extendObject e restrinja essa entrada a dados confiáveis sempre que possível.
- Valide e restrinja chaves de objetos antes de mesclá-las a outros objetos, como medida defensiva de projeto.
Orientações de detecção
- Faça um inventário das aplicações e pipelines de build que dependem do Maker.js e registre a versão instalada.
- Observe propriedades inesperadas ou mudanças de comportamento em objetos que recebem dados mesclados, pois isso pode indicar poluição de protótipo.
- Acompanhe o aviso do fornecedor e os feeds de pacotes para a publicação da versão 0.19.2.
Limitações das informações disponíveis
O registro não confirma uma versão corrigida. As pontuações CVSS diferem entre a NVD e o CNA. Não há dados de EPSS ou SSVC. As fontes não descrevem um cenário concreto de exploração nem produtos dependentes afetados além do próprio Maker.js.
Perguntas frequentes
A CVE-2026-24888 está sendo explorada ativamente?
O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões do Maker.js são afetadas e o que devo fazer?
As versões até a 0.19.1 inclusive são listadas como afetadas. Planeje a atualização para a 0.19.2 ou posterior quando ela for publicada e confirmada pelo aviso do fornecedor, e revise como seu código envia dados para o extendObject enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.