一、 漏洞 CVE-2025-3193 基础信息
漏洞信息
# N/A
## 概述
`algoliasearch-helper` 是一个用于构建 Algolia 搜索查询的工具库。在版本 **2.0.0-rc1 到 3.11.2（不包括 3.11.2）** 中，其 `merge.js` 文件中的 `_merge()` 函数存在 **Prototype Pollution** 漏洞，可能导致攻击者在特定条件下修改对象原型。
## 影响版本
受影响版本：
- `algoliasearch-helper` **>= 2.0.0-rc1 且 < 3.11.2**
## 漏洞细节
在 `_merge()` 函数中存在原型污染漏洞，允许攻击者通过用户输入修改 `constructor.prototype` 属性。虽然此操作通常会抛出错误，但如果在极端边缘情况下（extreme edge-case）该错误被捕获（try/catch），攻击者注入的代码可能通过污染原型的方式执行。
## 影响
- 如果应用**允许用户自定义搜索参数 searchParameters**，且这些参数**未正确校验和过滤**，则可能存在原型污染风险。
- 默认情况下的 **InstantSearch 配置不可利用该漏洞**，因为用户无法直接修改 `searchParameters`。
- 成功利用需要多个条件同时满足，属于**高门槛、低概率攻击场景**。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Versions of the package algoliasearch-helper from 2.0.0-rc1 and before 3.11.2 are vulnerable to Prototype Pollution in the _merge() function in merge.js, which allows constructor.prototype to be written even though doing so throws an error. In the "extreme edge-case" that the resulting error is caught, code injected into the user-supplied search parameter may be exeucted.
This is related to but distinct from the issue reported in [CVE-2021-23433](https://security.snyk.io/vuln/SNYK-JS-ALGOLIASEARCHHELPER-1570421).
**NOTE:** This vulnerability is not exploitable in the default configuration of InstantSearch since searchParameters are not modifiable by users.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
algoliasearch-helper 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
algoliasearch-helper是Algolia开源的一个JavaScript模块，它可以帮助您跟踪搜索参数并提供更高级别的 API。 algoliasearch-helper 2.0.0-rc1版本至3.11.2之前版本存在安全漏洞，该漏洞源于merge.js中_merge函数存在原型污染，可能导致执行用户提供的搜索参数中的代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-3193 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-3193 的情报信息
-
-
标题： Prototype pollution found in merge.js · Issue #922 · algolia/algoliasearch-helper-js -- 🔗来源链接
标签：
神龙速读
-
标题： fix(constructor): prevent prototype pollution in rare error-cases · algolia/algoliasearch-helper-js@776dff2 · GitHub -- 🔗来源链接
标签：
神龙速读
- https://nvd.nist.gov/vuln/detail/CVE-2025-3193
四、漏洞 CVE-2025-3193 的评论
暂无评论