CVE-2026-48170 in scim-patch
Zusammenfassung
von VulDB • 08.08.2026
`scim-patch`, una libreria per eseguire patch SCIM, precedente alla versione 0.9.1, è vulnerabile al prototype pollution quando si applica un'operazione PATCH SCIM il cui oggetto `value` contiene una chiave come `"__proto__.someProp"`. Dopo tale patch, `Object.prototype.someProp` viene impostata a livello di processo, influenzando ogni oggetto plain nel Node process. Qualsiasi servizio che chiama `scimPatch()` su JSON controllato dall'attaccante (ovvero qualsiasi endpoint SCIM che accetta PATCH da un IdP esterno) è sfruttabile con una runtime Node standard. La versione 0.9.1 contiene la patch. È disponibile una soluzione alternativa: chiamare `Object.freeze(Object.prototype)` (e lo stesso per `Array.prototype`, `Function.prototype`) all'avvio del processo neutralizza questa classe di bug — l'assegnazione a un prototype congelato diventa un no-op silenzioso in sloppy mode o genera un `TypeError` in strict mode. Il flag Node `--frozen-intrinsics` applica automaticamente questo comportamento alle intrinseche built-in.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.