CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 2CVE-2020-27511
https://notcve.org/view.php?id=CVE-2020-27511
An issue was discovered in the stripTags and unescapeHTML components in Prototype 1.7.3 where an attacker can cause a Regular Expression Denial of Service (ReDOS) through stripping crafted HTML tags. Se ha descubierto un problema en los componentes stripTags y unescapeHTML de Prototype versión 1.7.3 por el que un atacante puede provocar una denegación de servicio por expresión regular (ReDOS) a través de la eliminación de las etiquetas HTML • http://prototypejs.org https://github.com/prototypejs/prototype/blob/dee2f7d8611248abce81287e1be4156011953c90/src/prototype/lang/string.js#L283 https://github.com/yetingli/PoCs/blob/main/CVE-2020-27511/Prototype.md •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-7993
https://notcve.org/view.php?id=CVE-2020-7993
Prototype 1.6.0.1 allows remote authenticated users to forge ticket creation (on behalf of other user accounts) via a modified email ID field. Prototype versión 1.6.0.1, permite a usuarios autenticados remotos falsificar la creación de tickets (en nombre de otras cuentas de usuario) por medio de un campo email ID modificado. • https://github.com/prototypejs/prototype/blob/master/CHANGELOG https://medium.com/%40vbharad/improper-access-control-vulnerability-in-prototype-1-6-0-1-framework-379cc3a05079 • CWE-862: Missing Authorization •
CVSS: 7.5EPSS: 0%CPEs: 3EXPL: 1CVE-2008-7220
https://notcve.org/view.php?id=CVE-2008-7220
Unspecified vulnerability in Prototype JavaScript framework (prototypejs) before 1.6.0.2 allows attackers to make "cross-site ajax requests" via unknown vectors. Vulnerabilidad sin especificar en Prototype JavaScript Framework (prototypejs) anterior a v1.6.0.2, permite a atacantes remotos realizar "peticiones ajax en sitios cruzados" a través de vectores desconocidos. • https://github.com/followboy1999/CVE-2008-7220 http://github.com/sstephenson/prototype/blob/master/CHANGELOG http://osvdb.org/46312 http://packetstormsecurity.com/files/152787/dotCMS-5.1.1-Vulnerable-Dependencies.html http://seclists.org/fulldisclosure/2019/May/10 http://seclists.org/fulldisclosure/2019/May/11 http://seclists.org/fulldisclosure/2019/May/13 http://secunia.com/advisories/37479 http://secunia.com/advisories/37677 http://www.debian.org/security/2009/dsa-1952 http:/ •
CVSS: 5.0EPSS: 1%CPEs: 1EXPL: 0CVE-2007-2383
https://notcve.org/view.php?id=CVE-2007-2383
The Prototype (prototypejs) framework before 1.5.1 RC3 exchanges data using JavaScript Object Notation (JSON) without an associated protection scheme, which allows remote attackers to obtain the data via a web page that retrieves the data through a URL in the SRC attribute of a SCRIPT element and captures the data using other JavaScript code, aka "JavaScript Hijacking." El framework Prototype (prototypejs) versiones anteriores a 1.5.1 RC3, intercambia datos usando JavaScript Object Notation (JSON) sin un esquema de protección asociado, lo que permite a atacantes remotos obtener los datos por medio de una página web que recupera los datos por medio de una URL en el atributo SRC de un elemento SCRIPT y captura los datos usando otro código JavaScript, también se conoce como "JavaScript Hijacking". • http://dev.rubyonrails.org/ticket/7910 http://prototypejs.org/2007/4/24/release-candidate-3 http://secunia.com/advisories/37677 http://www.debian.org/security/2009/dsa-1952 http://www.fortifysoftware.com/servlet/downloads/public/JavaScript_Hijacking.pdf •