CVE-2026-33863
CriticalSummary
Istnieją dwie niechronione ścieżki zanieczyszczenia prototypu, które nie zostały objęte wcześniejszymi poprawkami. Funkcje `config.load()` i `config.loadFile()` rekurencyjnie łączą dane konfiguracyjne bez sprawdzania zabronionych kluczy, co może prowadzić do poważnych problemów.
Risk Assessment
Zagrożenie polega na możliwości wstrzyknięcia złośliwych danych do aplikacji, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. To może wpłynąć na integralność i bezpieczeństwo systemu.
Recommendation
Zaleca się wprowadzenie walidacji kluczy w funkcjach `config.load()` i `config.loadFile()`, aby zablokować możliwość użycia zabronionych kluczy, takich jak `__proto__` czy `constructor.prototype`.
Original NVD description (English source)
### Impact Two unguarded prototype pollution paths exist, not covered by previous fixes: 1. `config.load()` / `config.loadFile()` — `overlay()` recursively merges config data without checking for forbidden keys. Input containing` __proto__` or `constructor.prototype` (e.g. from a JSON file) causes