CVE-2026-48170 in scim-patch
Resumen
por VulDB • 2026-08-08
scim-patch, una libreria per eseguire patch SCIM, precedente alla versione 0.9.1, è vulnerabile all'inquinamento del prototipo (prototype pollution) quando si applica un'operazione PATCH SCIM il cui oggetto `value` contiene una chiave come `"__proto__.someProp"`. Dopo tale patch, `Object.prototype.someProp` viene impostata a livello di processo, influenzando ogni oggetto semplice nel processo Node. Qualsiasi servizio che chiama `scimPatch()` su JSON controllato dall'attaccante (ovvero qualsiasi endpoint SCIM che accetta PATCH da un IdP esterno) è sfruttabile con una runtime Node standard. La versione 0.9.1 contiene la correzione. È disponibile una soluzione alternativa: chiamare `Object.freeze(Object.prototype)` (e lo stesso per `Array.prototype`, `Function.prototype`) all'avvio del processo neutralizza questa classe di bug — l'assegnazione a un prototipo congelato diventa un no-op silenzioso in modalità loose o genera un `TypeError` in modalità strict. Il flag `--frozen-intrinsics` di Node applica automaticamente questo comportamento agli intrinseci built-in.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.