CVE-2026-33994 in locutus
要約
〜によって VulDB • 2026年06月02日
Locutusは、教育目的のために他のプログラミング言語の標準ライブラリをJavaScriptにもたらすものです。バージョン2.0.39からバージョン3.0.25以前にかけて、npmパッケージlocutusの`parse_str`関数にプロトタイプ汚染の脆弱性が存在します。攻撃者は`RegExp.prototype.test`を上書きし、その後`parse_str`に作成されたクエリ文字列を渡すことで`Object.prototype`を汚染し、プロトタイプ汚染ガードを回避できます。この脆弱性は、CVE-2026-25521に対する不完全な修正に起因します。CVE-2026-25521のパッチは、`String.prototype.includes()`ベースのガードを`RegExp.prototype.test()`ベースのガードに置き換えました。しかし、`RegExp.prototype.test`自体が上書き可能な書き込み可能なプロトタイプメソッドであるため、新しいガードも元のガードと同様に回避可能であり、あるハッキング可能な組み込み関数を別のハッキング可能な組み込み関数に置き換えるに留まっています。バージョン3.0.25には更新された修正が含まれています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.