关键漏洞信息 漏洞概述 漏洞类型: Prototype Pollution 影响: convict 包，版本 < 6.2.3 综合评级: 7.5 ( высоко ) 漏洞详情 受影响版本: convict 包版本 < 6.2.3 漏洞描述: 这是CWE-1321 的绕过。fix 引入的修复方法依赖于 startsWith 方法，并无法完全防止漏洞。在分割路径之前，它会检查是否以 __proto__ 或 this.constructor.prototype 开头。要绕过这个检查，任何以点分隔的字符串值都可以，例如 foo.__proto__ 或 foo.this.constructor.prototype。 PoC (概念验证) 漏洞详情 Prototype Pollution 是一种影响 JavaScript 的漏洞。这是一种能够注入属性到现有 JavaScript 语言构造的原型（如对象）的能力。 注入的属性会更改 JavaScript 对象的行为，导致远程代码执行或拒绝服务攻击。 漏洞修复 解决方法: 升级 convict 到版本 6.2.3 或更高。 漏洞披露 披露日期: 2022年4月24日 CVE-ID: CVE-2022-22143