CVE-2026-33863
KrytyczneStreszczenie
Istnieją dwie niechronione ścieżki zanieczyszczenia prototypu, które nie zostały objęte wcześniejszymi poprawkami. Funkcje `config.load()` i `config.loadFile()` rekurencyjnie łączą dane konfiguracyjne bez sprawdzania zabronionych kluczy, co może prowadzić do poważnych problemów.
Ocena ryzyka
Zagrożenie polega na możliwości wstrzyknięcia złośliwych danych do aplikacji, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji danych. To może wpłynąć na integralność i bezpieczeństwo systemu.
Rekomendacja
Zaleca się wprowadzenie walidacji kluczy w funkcjach `config.load()` i `config.loadFile()`, aby zablokować możliwość użycia zabronionych kluczy, takich jak `__proto__` czy `constructor.prototype`.
Oryginalny opis (angielski, źródło NVD)
### Impact Two unguarded prototype pollution paths exist, not covered by previous fixes: 1. `config.load()` / `config.loadFile()` — `overlay()` recursively merges config data without checking for forbidden keys. Input containing` __proto__` or `constructor.prototype` (e.g. from a JSON file) causes