CVE-2026-46510
WysokieCVSS 8.2Streszczenie
Podatność w bibliotece form-data-objectizer przed wersją 1.0.1 pozwala na zanieczyszczenie prototypu obiektu w Node.js poprzez nieodfiltrowanie kluczy formy zaczynających się od __proto__. Może to prowadzić do niezamierzonych modyfikacji Object.prototype.
Ocena ryzyka
Zanieczyszczenie prototypu może prowadzić do poważnych problemów z bezpieczeństwem, umożliwiając atakującym manipulację zachowaniem aplikacji. Może to wpłynąć na integralność danych oraz stabilność całego procesu Node.js.
Rekomendacja
Zaleca się aktualizację biblioteki form-data-objectizer do wersji 1.0.1 lub nowszej, aby usunąć tę podatność. Należy również przeprowadzić audyt kodu w celu identyfikacji potencjalnych miejsc wykorzystania tej biblioteki.
Oryginalny opis (angielski, źródło NVD)
form-data-objectizer converts FormData to object. Prior to 1.0.1, form-data-objectizer walks bracket-notation form keys (e.g. name[sub]) into nested objects without filtering __proto__, constructor, or prototype. A single HTTP form field whose name starts with __proto__[...] causes the library to mutate Object.prototype, which is a prototype pollution primitive of the entire Node.js process. This vulnerability is fixed in 1.0.1.