CVE-2026-45302 in parse-nested-form-data
요약
\~에 의해 VulDB • 2026. 06. 01.
parse-nested-form-data는 FormData를 이름별로 객체 및 배열로 파싱하기 위한 경량 Node.js 모듈입니다. 버전 1.0.1 이전의 parseFormData()는 대괄기호(bracket) 및 점 표기법(dot-notation) FormData 필드 이름을 필터링 없이 중첩된 객체로 변환합니다. 이름이 __proto__로 시작하거나 경로 중간에 .__proto__.을 포함하는 단일 FormData 필드는 파서가 Object.prototype을 탐색하여 해당 위치에 속성을 할당하도록 유도하며, 이는 실행 중인 프로세스 내 모든 일반 객체의 프로토타입 체인을 오염시킵니다. 이 문제는 버전 1.0.1에서 패치되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.