CVE-2026-48170 in scim-patch
Sumário
de VulDB • 08/08/2026
O `scim-patch`, uma biblioteca para realizar operações de patch SCIM, anterior à versão 0.9.1, sofre de prototype pollution ao aplicar uma operação PATCH do SCIM cujo objeto `value` contém uma chave como `"__proto__.someProp"`. Após um tal patch, `Object.prototype.someProp` é definido em todo o processo (process-wide), afetando todos os objetos simples no ambiente Node. Qualquer serviço que chame `scimPatch()` com JSON controlado pelo atacante (ou seja, qualquer endpoint SCIM que aceite PATCH de uma IdP externa) é explorável em um runtime Node padrão. A versão 0.9.1 contém a correção. Uma solução alternativa está disponível. Chamar `Object.freeze(Object.prototype)` (e o mesmo para `Array.prototype`, `Function.prototype`) na inicialização do processo neutraliza esta classe de bug — a atribuição a um prototype congelado torna-se uma operação silenciosa sem efeito em modo não estrito ou gera um `TypeError` em modo estrito. A flag `--frozen-intrinsics` do Node faz isso automaticamente para os intrínsecos integrados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.