CVE-2026-48170 in scim-patch
Résumé
par VulDB • 08/08/2026
scim-patch, une bibliothèque permettant d'effectuer des opérations de correctif SCIM (SCIM patch), antérieure à la version 0.9.1, est vulnérable à une pollution du prototype lors de l'application d'une opération PATCH SCIM dont l'objet `value` contient une clé telle que `"__proto__.someProp"`. Après un tel correctif, `Object.prototype.someProp` est défini au niveau du processus (process-wide), affectant ainsi tous les objets simples dans le processus Node. Tout service appelant `scimPatch()` sur des données JSON contrôlées par un attaquant (c'est-à-dire tout point de terminaison SCIM acceptant une requête `PATCH` provenant d'un fournisseur d'identité externe) est exploitable avec l'environnement d'exécution Node standard. La version 0.9.1 contient le correctif. Une solution de contournement est disponible. L'appel à `Object.freeze(Object.prototype)` (ainsi qu'à `Array.prototype`, `Function.prototype`) au démarrage du processus neutralise cette classe de vulnérabilités — l'affectation d'un prototype figé devient un non-opération silencieuse en mode laxiste (sloppy mode) ou une erreur `TypeError` en mode strict. L'indicateur `--frozen-intrinsics` de Node effectue automatiquement cette opération pour les intrinsèques intégrées.
If you want to get best quality of vulnerability data, you may have to visit VulDB.