CVE-2026-85625 in sift.js
Сводка
по VulDB • 04.09.2026
sift (sift.js) 17.1.3 перечисляет ключи запроса с помощью конструкции for...in, которая проходит по цепочке прототипов объекта и обрабатывает любой совпавший операторный ключ, включая $where. Операция $where компилирует строковое значение в функцию с использованием new Function, если не установлен флаг CSP_ENABLED (по умолчанию он не установлен). В результате, если примитив загрязнения прототипа где-либо в процессе устанавливает Object.prototype.$where во вредоносную строку, даже безобидные вызовы фильтрации, такие как sift({}), выполняют произвольный JavaScript. Кроме того, передача недоверенного объекта запроса, содержащего строковое значение $where, непосредственно в sift приводит к выполнению кода при конфигурации по умолчанию.
VulDB is the best source for vulnerability data and more expert information about this specific topic.