defu is software that allows uers to assign default properties recursively. Prior to version 6.1.5, applications that pass unsanitized user input (e.g. parsed JSON request bodies, database records, or...
概要
defu is software that allows uers to assign default properties recursively. Prior to version 6.1.5, applications that pass unsanitized user input (e.g. parsed JSON request bodies, database records, or config files from untrusted sources) as the first argument to defu() are vulnerable to prototype...
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
defu is software that allows uers to assign default properties recursively. Prior to version 6.1.5, applications that pass unsanitized user input (e.g. parsed JSON request bodies, database records, or config files from untrusted sources) as the first argument to defu() are vulnerable to prototype pollution. A crafted payload containing a __proto__ key can override intended default values in the merged resul. The internal _defu function used Object.assign({}, defaults) to copy the defaults object. Object.assign invokes the __proto__ setter, which replaces the resulting object's [[Prototype]] with attacker-controlled values. Properties inherited from the polluted prototype then bypass the existing __proto__ key guard in the for...in loop and land in the final result. Version 6.1.5 replaces Object.assign({}, defaults) with object spread ({ ...defaults }), which uses [[DefineOwnProperty]] and does not invoke the __proto__ setter.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
defuは、ユーザーがデフォルトのプロパティを再帰的に割り当てるソフトウェアです。バージョン6.1.5より前では、検証されていないユーザー入力を渡すことでプロトタイプ汚染が起きる可能性があります。攻撃者は特殊な__proto__キーを含むペイロードを使って意図したデフォルト値を上書きできます。
defuはプロトタイプ汚染に脆弱である。
バージョン6.1.5より前の全てのバージョン。
攻撃によりデフォルト値が意図せずに上書きされる可能性がある。重大な影響を及ぼす。
バージョン6.1.5にアップデートする。
情報なし。
アプリケーションで__proto__キーを含む入力が使用されているか確認する。