CVE-2026-33993
CriticalSummary
W wersjach przed 3.0.25 funkcja `unserialize()` w `locutus/php/var/unserialize` przypisuje deserializowane klucze do obiektów bez filtrowania klucza `__proto__`. To umożliwia atakującym wstrzykiwanie właściwości oraz nadpisywanie metod, co prowadzi do potencjalnych problemów z bezpieczeństwem.
Risk Assessment
Organizacja może być narażona na ataki, które pozwalają na wstrzykiwanie złośliwych właściwości do obiektów JavaScript, co może prowadzić do naruszenia integralności danych oraz odmowy usługi.
Recommendation
Zaleca się aktualizację do wersji 3.0.25 lub nowszej, aby usunąć tę podatność i zabezpieczyć aplikację przed potencjalnymi atakami.
Original NVD description (English source)
Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to version 3.0.25, the `unserialize()` function in `locutus/php/var/unserialize` assigns deserialized keys to plain objects via bracket notation without filtering the `__proto__` key. When a PHP serialized payload contains `__proto__` as an array or object key, JavaScript's `__proto__` setter is invoked, replacing the deserialized object's prototype with attacker-controlled content. This enables property injection, for...in propagation of injected properties, and denial of service via built-in method override. This is distinct from the previously reported prototype pollution in `parse_str` (GHSA-f98m-q3hr-p5wq, GHSA-rxrv-835q-v5mh) — `unserialize` is a different function with no mitigation applied. Version 3.0.25 patches the issue.