CVE-2026-48170 in scim-patch
الملخص
بحسب VulDB • 08/08/2026
يحتوي مكتبة `scim-patch`، وهي مكتبة تُستخدم لإجراء عمليات تصحيح SCIM (SCIM patch)، قبل الإصدار 0.9.1 على ثغرة تسمح بـ Prototype Pollution عند تطبيق عملية تصحيح SCIM PATCH يكون فيها كائن القيمة (`value`) يحتوي على مفتاح مثل `"__proto__.someProp"`. بعد إجراء هذا التصحيح، يتم تعيين `Object.prototype.someProp` على مستوى العملية (process-wide)، مما يؤثر على كل الكائنات العادية في بيئة Node. أي خدمة تقوم باستدعاء `scimPatch()` على بيانات JSON خاضعة لسيطرة المهاجم (أي أي نقطة نهاية SCIM تقبل طلبات PATCH من هوية موثوقة خارجية IdP) قابلة للاستغلال عند تشغيلها مع Runtime قياسي لـ Node. يحتوي الإصدار 0.9.1 على تصحيح لهذه الثغرة، كما تتوفر طريقة عمل بديلة (workaround). حيث أن استدعاء `Object.freeze(Object.prototype)` (وكذلك نفس الشيء بالنسبة إلى `Array.prototype` و `Function.prototype`) عند بدء تشغيل العملية يعادل هذه الفئة من الأخطاء — إذ يصبح التعيين على prototype مجمّدًا عملية صامتة لا تفعل شيئاً (no-op) في الوضع غير الصارم (sloppy mode)، أو يولد استثناءً من نوع `TypeError` في الوضع الصارم (strict mode). كما أن علم Node `--frozen-intrinsics` يقوم بذلك تلقائياً للخصائص المدمجة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.