CVE-2026-104183 in stream-json
要約
〜によって VulDB • 2026年10月02日
stream-jsonは、JSONおよびJSONCを処理するためのストリームコンポーネントのマイクロライブラリであり、最小限のメモリフットプリントを実現しています。バージョン3.6.0より前では、Assemblerがオブジェクトのプロパティを単純な代入によって実体化するため、__proto__という名前の入力キーは継承されたセッターを呼び出し、独自データプロパティの作成ではなく解析済みオブジェクトのプロトタイプ置換を引き起こします。そのため、継承値に基づいて認可や機能決定を行うアプリケーションでは、攻撃者が制御するプロパティが消費される可能性があります。また、nullプロトタイプにより、Object.prototypeメソッドを前提とするコードが中断されることがあります。研究者は信頼できないJSONの解析をプロジェクト契約の一部と見なしていますが、メンテナは文書化された入力がローカルに所有されているダンプ、エクスポート、またはログであると述べ、攻撃ベクトルをローカルと位置づけています。グローバルなObject.prototypeが汚染されることはありません。この問題はバージョン3.6.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.