mariocasciaro/object-path में प्रोटोटाइप प्रदूषण (Prototype Pollution)

CVE-2021-3805 object-path लाइब्रेरी (0.11.8 से पहले के संस्करण) में 'प्रोटोटाइप प्रदूषण' (Prototype Pollution) हमले को सक्षम करता है। यह तब होता है जब एक हमलावर Object.prototype ऑब्जेक्ट के गुणों को संशोधित कर सकता है, जिससे जावास्क्रिप्ट में सभी ऑब्जेक्ट प्रभावित होते हैं। object-path के संदर्भ में, यदि लाइब्रेरी उचित सत्यापन के बिना उपयोगकर्ता-नियंत्रित इनपुट को संसाधित करती है, तो इस भेद्यता का शोषण किया जा सकता है। एक हमलावर प्रोटोटाइप में दुर्भावनापूर्ण गुणों को इंजेक्ट कर सकता है, जिससे एप्लिकेशन में अप्रत्याशित व्यवहार हो सकता है, और संभावित रूप से मनमाना कोड निष्पादन या सेवा से इनकार हमले को सक्षम कर सकता है। CVSS गंभीरता रेटिंग 7.5 है, जो उच्च जोखिम का संकेत देती है। प्रोटोटाइप प्रदूषण की प्रकृति का मतलब है कि पहचान और शमन जटिल है, क्योंकि प्रभाव सूक्ष्म हो सकता है और उसका पता लगाना मुश्किल हो सकता है।

Applications that utilize the object-path library, particularly those processing untrusted user input, are at risk. Node.js projects relying on object-path as a dependency are especially vulnerable. Projects using older versions of Node.js that may have outdated dependency management practices are also at increased risk.

• nodejs:

  npm list object-path

This command will list installed versions of object-path. Check if the version is less than or equal to 0.11.8. • nodejs:

  npm audit object-path

This command will check for known vulnerabilities in your project's dependencies, including CVE-2021-3805. • generic web: Examine application logs for unusual object property modifications or errors related to object-path usage. Look for patterns indicating malicious path manipulation.

1. 2021-09-17Disclosure

   disclosure

1. आरक्षित2021-09-16
2. प्रकाशित2021-09-17
3. संशोधित2024-08-03
4. EPSS अद्यतन2026-04-02

CVE-2021-3805 के लिए प्राथमिक शमन object-path लाइब्रेरी को संस्करण 0.11.8 या उससे ऊपर के संस्करण में अपडेट करना है। इस संस्करण में प्रोटोटाइप प्रदूषण को रोकने के लिए एक फिक्स शामिल है। इसके अतिरिक्त, object-path के साथ उपयोग किए जाने वाले सभी इनपुट डेटा को सख्ती से मान्य करने की सिफारिश की जाती है, खासकर अविश्वसनीय स्रोतों से आने वाले डेटा को। अनुमत गुणों की अनुमति सूची को लागू करना और प्रोटोटाइप को गतिशील रूप से संशोधित करने वाले कार्यों के उपयोग से बचना अच्छी प्रथाएं हैं। यदि तत्काल अपडेट संभव नहीं है, तो अतिरिक्त सुरक्षा उपायों के रूप में, object-path का उपयोग करने वाले कोड को एक अलग वातावरण में चलाने पर विचार किया जा सकता है, हालांकि इससे प्रदर्शन प्रभावित हो सकता है।