← 戻る
CVE-2026-54639
high
CVSS 8.8
Style Dictionary - Prototype Pollution in convertTokenData utility function
概要
Style Dictionary - Prototype Pollution in convertTokenData utility function
AI要約 openai / gpt-4o
Style Dictionaryは、バージョン4.3.0から5.4.4未満にかけて、プロトタイプ汚染の脆弱性があります。特にNodeJSサーバーアプリケーションに統合されている場合には影響が大きいです。修正は5.4.4で公開されましたが、既知の回避策はトークンデータの事前消毒です。
❓ 何が問題か
Style Dictionaryのプロトタイプ汚染の脆弱性
📍 影響範囲
バージョン4.3.0から5.4.4未満
🔥 重要度
NodeJSサーバーアプリケーションで高い影響
🔧 修正方法
バージョン5.4.4にアップデートする
🛡️ 暫定回避
トークンデータを事前に消毒する
🔍 検知方法
トークンデータ内の`__proto__`を含むオブジェクトキーを再帰的にチェック
影響パッケージ
npm
style-dictionary
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"5.4.4"}]}]
参照URL
- web https://github.com/style-dictionary/style-dictionary/commit/209085d9782cfc0783c4d983f3f1bb2c515954ec
- web https://github.com/style-dictionary/style-dictionary/commit/23b5e8dda143441f0d6b8e2b4222e2da98058bc5
- web https://github.com/style-dictionary/style-dictionary/pull/1702
- web https://github.com/style-dictionary/style-dictionary/security/advisories/GHSA-vj5c-m527-mpff
- web https://nvd.nist.gov/vuln/detail/CVE-2026-54639
- web https://github.com/style-dictionary/style-dictionary/releases/tag/v5.4.4
- web https://github.com/advisories/GHSA-vj5c-m527-mpff