Vulnerabilities > CVE-2021-23436 - Type Confusion vulnerability in Immer Project Immer

CVSS 7.5 - HIGH

Attack vector

NETWORK

Attack complexity

LOW

Privileges required

NONE

Confidentiality impact

PARTIAL

Integrity impact

PARTIAL

Availability impact

PARTIAL

network

low complexity

immer-project

CWE-843

NVD

Published: 2021-09-01

Updated: 2021-09-10

Summary

This affects the package immer before 9.0.6. A type confusion vulnerability can lead to a bypass of CVE-2020-28477 when the user-provided keys used in the path parameter are arrays. In particular, this bypass is possible because the condition (p === "__proto__" || p === "constructor") in applyPatches_ returns false if p is ['__proto__'] (or ['constructor']). The === operator (strict equality operator) returns false if the operands have different type.

Vulnerable Configurations

Part	Description	Count
Application	Immer_Project Immer Project Immer - Immer Project Immer 0.0.4 Immer Project Immer 0.1.0 Immer Project Immer 0.1.1 Immer Project Immer 0.1.2 Immer Project Immer 0.2.0 Immer Project Immer 0.2.1 Immer Project Immer 0.2.2 Immer Project Immer 0.3.0 Immer Project Immer 0.4.0 Immer Project Immer 0.4.2 Immer Project Immer 0.5.0 Immer Project Immer 0.6.0 Immer Project Immer 0.6.1 Immer Project Immer 0.7.0 Immer Project Immer 0.8.0 Immer Project Immer 0.8.1 Immer Project Immer 0.8.2 Immer Project Immer 1.0.0 Immer Project Immer 1.0.1 Immer Project Immer 1.0.2 Immer Project Immer 1.0.3 Immer Project Immer 1.1.0 Immer Project Immer 1.1.1 Immer Project Immer 1.1.2 Immer Project Immer 1.1.3 Immer Project Immer 1.2.0 Immer Project Immer 1.4.0 Immer Project Immer 1.5.0 Immer Project Immer 1.7.0 Immer Project Immer 1.7.1 Immer Project Immer 1.7.3 Immer Project Immer 1.7.4 Immer Project Immer 1.8.0 Immer Project Immer 1.8.1 Immer Project Immer 1.8.2 Immer Project Immer 1.9.0 Immer Project Immer 1.9.1 Immer Project Immer 1.9.2 Immer Project Immer 1.9.3 Immer Project Immer 1.10.0 Immer Project Immer 1.10.1 Immer Project Immer 1.10.2 Immer Project Immer 1.10.3 Immer Project Immer 1.10.4 Immer Project Immer 1.10.5 Immer Project Immer 1.11.0 Immer Project Immer 1.11.1 Immer Project Immer 1.12.0 Immer Project Immer 1.12.1 Immer Project Immer 2.0.0 Immer Project Immer 2.1.0 Immer Project Immer 2.1.1 Immer Project Immer 2.1.2 Immer Project Immer 2.1.3 Immer Project Immer 2.1.4 Immer Project Immer 2.1.5 Immer Project Immer 2.2.0 Immer Project Immer 3.0.0 Immer Project Immer 3.1.0 Immer Project Immer 3.1.1 Immer Project Immer 3.1.2 Immer Project Immer 3.1.3 Immer Project Immer 3.1.4 Immer Project Immer 3.2.0 Immer Project Immer 3.2.1 Immer Project Immer 3.3.0 Immer Project Immer 4.0.0 Immer Project Immer 4.0.1 Immer Project Immer 4.0.2 Immer Project Immer 5.0.0 Immer Project Immer 5.0.1 Immer Project Immer 5.0.2 Immer Project Immer 5.1.0 Immer Project Immer 5.2.0 Immer Project Immer 5.2.1 Immer Project Immer 5.3.0 Immer Project Immer 5.3.1 Immer Project Immer 5.3.2 Immer Project Immer 5.3.3 Immer Project Immer 5.3.4 Immer Project Immer 5.3.5 Immer Project Immer 5.3.6 Immer Project Immer 6.0.0 Immer Project Immer 6.0.1 Immer Project Immer 6.0.2 Immer Project Immer 6.0.3 Immer Project Immer 6.0.4 Immer Project Immer 6.0.5 Immer Project Immer 6.0.6 Immer Project Immer 6.0.7 Immer Project Immer 6.0.8 Immer Project Immer 6.0.9 Immer Project Immer 7.0.0 Immer Project Immer 7.0.1 Immer Project Immer 7.0.2 Immer Project Immer 7.0.3 Immer Project Immer 7.0.4 Immer Project Immer 7.0.5 Immer Project Immer 7.0.6 Immer Project Immer 7.0.7 Immer Project Immer 7.0.8 Immer Project Immer 7.0.9 Immer Project Immer 7.0.10 Immer Project Immer 7.0.11 Immer Project Immer 7.0.12 Immer Project Immer 7.0.13 Immer Project Immer 7.0.14 Immer Project Immer 7.0.15 Immer Project Immer 8.0.0 Immer Project Immer 8.0.1 Immer Project Immer 8.0.2 Immer Project Immer 8.0.3 Immer Project Immer 8.0.4 Immer Project Immer 9.0.0 Immer Project Immer 9.0.1 Immer Project Immer 9.0.2 Immer Project Immer 9.0.3 Immer Project Immer 9.0.4 Immer Project Immer 9.0.5	120

Common Weakness Enumeration (CWE)

CWE-843 - Access of Resource Using Incompatible Type ('Type Confusion')

Summary

Vulnerable Configurations

Common Weakness Enumeration (CWE)

References