关键信息 漏洞概述 CVE编号: CVE-2024-38988 影响版本: unflatto模块，版本 <= 1.0.2 漏洞类型: 原型污染 漏洞位置: (@alizeait/unflatto/dist/index.js:1) 描述: 由于源属性不安全地分配给目标对象，攻击者可以通过内置的 通过特殊属性 或 注入恶意负载。这可能导致应用逻辑被污染，进而引发拒绝服务、远程代码执行或跨站脚本攻击。 PoC (概念验证) 输出 攻击前: {} 攻击后: {"polluted":true} 成功修复后的输出 攻击前: {} 攻击后: {} 防范措施 只应分配或复制目标对象自身的属性，使用 检查。 阻止 或 属性的赋值。 参考资料 alizeait/unflatto#32 Prototype Pollution Lesson