CVE-2026-27837: Bypass de prototype pollution no Dottie via segmentos de caminho não iniciais em set() e transform()

Visão geral

Dottie é uma biblioteca JavaScript para ler e modificar objetos aninhados. O CVE-2026-27837 descreve uma correção incompleta do CVE-2023-26132: a proteção contra prototype pollution verifica apenas o primeiro segmento de um caminho separado por pontos, então pode ser contornada quando o nome de propriedade perigoso aparece em um segmento posterior. Tanto set() quanto transform() são apontados como afetados.

Impacto

A prototype pollution pode modificar propriedades compartilhadas entre objetos JavaScript, o que pode alterar o comportamento da aplicação. A gravidade desse efeito em uma aplicação específica é desconhecida a partir do registro.
O NVD registra pontuação base CVSS v3 de 9.8 (crítica), com impacto alto em confidencialidade, integridade e disponibilidade. O GitHub registra 6.3 para o mesmo problema.
A fraqueza atribuída é a CWE-1321, Prototype Pollution.

Produtos e versões afetadas

Dottie Project Dottie: de 2.0.4 antes de 2.0.7.
Mickhansen Dottie.js: de 2.0.4 antes de 2.0.7.
O registro informa que a proteção incompleta está presente nas versões 2.0.4 a 2.0.6.
A versão corrigida indicada pela descrição é a 2.0.7.

Status de exploração

Este CVE não aparece listado no catálogo KEV da CISA no registro, portanto nenhuma exploração ativa confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como poc e automatizável como não. A lista de referências inclui uma entrada marcada como relacionada a exploit, mas seu conteúdo não fez parte dos dados analisados.

Correção e mitigação

Atualize o Dottie para a 2.0.7 ou para uma versão posterior publicada pelo mantenedor.
Revise o aviso do mantenedor e o commit de correção.
Até a atualização, limite quais entradas não confiáveis podem chegar às chamadas de set() ou transform() baseadas em caminho, e rejeite ou sanitize nomes de propriedade ligados a protótipos em qualquer segmento.
Após a atualização, valide novamente que os caminhos protegidos se comportam como esperado em todas as posições.

Orientações de detecção

Faça o inventário de manifests e lockfiles de dependências para instalações do Dottie na faixa de 2.0.4 antes de 2.0.7.
Revise logs de aplicação ou registros de validação de entrada em busca de strings de caminho com nomes de propriedade incomuns em posições não iniciais.
Monitore alterações inesperadas em protótipos de objetos ou em propriedades padrão no comportamento da aplicação.

Limitações das informações disponíveis

O registro inclui o commit de correção apenas como link e não descreve em detalhes as mudanças de código.
O NVD (9.8) e o GitHub (6.3) atribuem pontuações CVSS diferentes, e o motivo da diferença não é informado.
O registro não inclui detalhes de prova de conceito, e a probabilidade EPSS de 0.0055 é uma estimativa estatística, não evidência de exploração.
Se a versão 2.0.7 resolve completamente o problema residual é uma informação da descrição e não foi verificada de forma independente.

Perguntas frequentes

Qual é a vulnerabilidade no Dottie CVE-2026-27837?

A proteção contra prototype pollution verifica apenas o primeiro segmento de um caminho separado por pontos, então pode ser contornada quando o nome de propriedade perigoso aparece em um segmento posterior. Tanto set() quanto transform() são apontados como afetados.

Quais versões são afetadas?

O registro lista os produtos afetados como de 2.0.4 antes de 2.0.7, tanto para Dottie Project Dottie quanto para Mickhansen Dottie.js. A versão corrigida indicada é a 2.0.7.

Esta vulnerabilidade está sendo explorada ativamente?

O CVE não aparece listado no catálogo KEV da CISA no registro, portanto nenhuma exploração ativa confirmada aparece nas fontes consultadas. Os dados SSVC do registro indicam exploração como poc.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.