CVE-2026-28794 in orpc
要約
〜によって VulDB • 2026年05月24日
oRPCは、エンドツーエンドで型安全であり、OpenAPI基準に準拠するAPIの構築を支援するツールです。バージョン1.13.6より前では、@orpc/clientパッケージのRPC JSONデシリアライザーにプロトタイプ汚染の脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者は、グローバルなObject.prototypeに任意のプロパティを注入できます。この汚染はNode.jsプロセスの存続期間中持続し、すべてのオブジェクトに影響を与えるため、認証の回避、サービス拒否、さらにはリモートコード実行（RCE）を含む深刻なセキュリティ侵害につながる可能性があります。この問題はバージョン1.13.6で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.