CVE-2026-46625

Beschreibung

JavaScript Cookie ist eine JavaScript-API für den Umgang mit Cookies, client-Seite. Vor Version 3.0.7 kopiert js-cookie's internal assign() helper Eigenschaften mit for...in + plain assignment. Wenn das Quellobjekt von JSON.parse erzeugt wird, ist das " proto "-Mitglied des JSON-Objekts eine eigene enumerierbare Eigenschaft, so dass das for...in es aufzählt und der target[key] = source[key] write den Object.prototype. proto setter auf das neue Ziel ({}) auslöst. Das Ergebnis ist ein Prototyp-Hijack: Object.prototype selbst ist unberührt, aber das fusionierte Attribute-Objekt erbt nun angreifergesteuerte Schlüssel. Da die verbrauchende set()-Funktion dann das fusionierte Objekt mit einem anderen für ... in aufzählt, landet jeder Schlüssel, den der Angreifer auf den verschmutzten Prototyp gelegt hat, in der resultierenden Set-Cookie-Zeichenfolge als Attributpaar. Der Angreifer kann domain=, secure=, samesite=, expire= und path= auf Cookies setzen, deren Attribute der Entwickler für gesperrt hielt. Dieses Problem wurde in Version 3.0.7 gepatcht.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Mehrere Hersteller javascript cookie, 3scale api management, ansible automation platform, openshift ai, openshift lightspeed, enterprise linux.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.