@orpc/json-schema Prototype Pollution Vulnerability Analysis

脆弱性の概要 の にプロトタイプインジェクションの脆弱性が存在します。この脆弱性により、攻撃者は特定の入力オブジェクトを構成して強制変換された入力オブジェクトのプロトタイプを変更し、検証およびプロセッサのユーザー満足度チェックを回避することができます。 影響範囲 影響を受けるバージョン： 修正バージョン： 深刻度：中（CVSS v3 ベース指標：6.5/10） 攻撃のベクトル：ネットワーク 攻撃の複雑さ：低 必要な権限：なし ユーザーの関与：なし スコープ：変更なし 機密性：低 完全性：低 可用性：なし 修正方法 1. パッチ： - において： - 強制変換される属性を に収集します。空プロトタイプヘルパーは、信頼されていないキーに対して および 内で を通常のオブジェクトプロパティとして予約し、出力に残します。 - 子スキーマの検索を で保護し、宣言された属性のみが一致するようにします。 2. 暫定対応策： - プロセッサに到達する前に、 、 、または キーを含むリクエストペイロードを拒否または削除します。 - 自動強制変換が必要でない場合は、 を削除します。 POC コード まとめ この脆弱性により、攻撃者は特定の入力オブジェクトを構成して強制変換された入力オブジェクトのプロトタイプを変更し、検証およびプロセッサのユーザー満足度チェックを回避することができます。修正方法としては、バージョン に更新するか、暫定対応策を講じる必要があります。

目標達成すべての支援者に感謝 — 100%達成しました！

@orpc/json-schema Prototype Pollution Vulnerability Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

@orpc/json-schema Prototype Pollution Vulnerability Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！