json-schema 存在 Prototype Pollution 漏洞

原型污染攻击允许攻击者通过修改 JavaScript 对象的原型链来注入恶意代码或修改应用程序的行为。在 json-schema 中，攻击者可以利用此漏洞影响 JSON 模式验证过程，可能导致数据篡改或拒绝服务。更严重的后果包括攻击者能够执行任意代码，如果 json-schema 库被用于处理不受信任的输入，则风险会显著增加。这种攻击模式类似于其他原型污染漏洞，可能导致意外的应用程序行为和安全漏洞。

1. 已保留2021-11-02
2. 发布日期2021-11-19
3. 修改日期2025-01-17
4. EPSS 更新日期2026-04-02

最有效的缓解措施是升级至 json-schema 0.4.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑使用输入验证库来清理 JSON 数据，防止恶意属性被注入。此外，可以实施严格的访问控制策略，限制对 json-schema 库的访问权限。使用 Web 应用程序防火墙 (WAF) 规则来检测和阻止原型污染攻击模式也是一种有效的防御手段。升级后，请验证 JSON 模式验证功能是否正常工作，确保修复已成功应用。