CVE-2025-48054 in radashi
要約
〜によって VulDB • 2026年05月20日
RadashiはTypeScript用ユーティリティツールキットです。バージョン12.5.1より前のRadashiライブラリに含まれるset関数には、プロトタイプ汚染の脆弱性が存在します。攻撃者がset関数へのpath引数の一部を制御できる場合、JavaScriptランタイム内のすべてのオブジェクトのプロトタイプを変更できる可能性があり、予期せぬ動作、サービス拒否（DoS）、あるいは特定のシナリオではリモートコード実行（RCE）に至る可能性があります。この問題はバージョン12.5.1で修正されています。この問題に対するワークアラウンドとしては、set関数に渡されるpath引数をサニタイズし、パス文字列のどの部分も__proto__、prototype、またはconstructorにならないようにすることが挙げられます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.