关键信息 漏洞概述 漏洞类型: Prototype Pollution 受影响版本: redoc <= 2.2.0 漏洞位置: 方法在 问题描述: 当使用 方法递归复制源属性到目标时，由于没有安全检查，攻击者可以利用此方法通过特殊属性 或 复制恶意属性到内置的 。这可能导致应用逻辑被污染，进而升级为拒绝服务、远程代码执行或跨站脚本攻击。 证明概念 (PoC) 输出 攻击前: {} 攻击后: {"polluted":true} 成功修复后的输出 攻击前: {} 攻击后: {} 防范措施 只应将自有属性分配或复制到目标对象，例如使用 进行检查。 阻止 或 属性名的赋值。 其他推荐措施可参考 Snyk.io 修复状态 已修复并关闭，相关提交 #2638 和 #2638 已验证。