ऑब्जेक्ट-पाथ में प्रोटोटाइप प्रदूषण (Prototype pollution)

object-path के संस्करण 0.11.4 से कम या उसके बराबर में, set() विधि में एक प्रोटोटाइप प्रदूषण भेद्यता पाई गई है। यह भेद्यता केवल includeInheritedProps मोड (यदि संस्करण >= 0.11.0 का उपयोग किया जा रहा है) में ही होती है, जिसे object-path का एक नया उदाहरण बनाकर और includeInheritedProps: true विकल्प सेट करके, या डिफ़ॉल्ट withInheritedProps उदाहरण का उपयोग करके स्पष्ट रूप से सक्षम करने की आवश्यकता होती है। यदि संस्करण >= 0.11.0 का उपयोग किया जा रहा है, तो डिफ़ॉल्ट ऑपरेशन मोड इस भेद्यता से प्रभावित नहीं होता है। एक हमलावर इस भेद्यता का उपयोग ऑब्जेक्ट प्रोटोटाइप पर गुणों को संशोधित करने के लिए कर सकता है, जिससे अप्रत्याशित व्यवहार या दुर्भावनापूर्ण कोड निष्पादन हो सकता है, खासकर जब प्रभावित ऑब्जेक्ट का उपयोग संवेदनशील संचालन में किया जाता है। CVSS गंभीरता रेटिंग 7.7 है, जो उच्च जोखिम का संकेत देती है।

1. आरक्षित2020-06-25
2. प्रकाशित2020-10-19
3. संशोधित2026-03-13
4. EPSS अद्यतन2026-04-02

इस भेद्यता के लिए समाधान object-path लाइब्रेरी को संस्करण 0.11.5 या उससे अधिक में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो includeInheritedProps मोड को अक्षम करने की अनुशंसा की जाती है, जिससे includeInheritedProps: true विकल्प के साथ उदाहरण बनाना और केवल तभी डिफ़ॉल्ट withInheritedProps उदाहरण का उपयोग करना बंद कर दिया जाए जब यह बिल्कुल आवश्यक हो। object-path का उपयोग करने वाले कोड की समीक्षा करके किसी भी संभावित प्रोटोटाइप प्रदूषण प्रभाव की पहचान करना और उन्हें कम करना महत्वपूर्ण है। किसी भी शमन उपाय लागू करने के बाद, सिस्टम की कार्यक्षमता सुनिश्चित करने और भेद्यता को हल करने के लिए पूरी तरह से परीक्षण करना उचित है। सिस्टम लॉग की निगरानी से शोषण प्रयासों का पता लगाने में मदद मिल सकती है।