Уязвимость CVE-2022-46175 - Документация Инкоманд

JSON5 — это расширение популярного формата файлов JSON, которое призвано упростить написание и поддержку вручную (например, для файлов конфигурации). Метод parse библиотеки JSON5 до версий 1.0.1 и 2.2.1 включительно не ограничивает разбор ключей с именем proto, что позволяет специально созданным строкам загрязнять прототип результирующего объекта. Эта уязвимость загрязняет прототип объекта, возвращаемого JSON5.parse, а не глобальный прототип объекта, что является общепринятым определением загрязнения прототипа. Однако загрязнение прототипа одного объекта может оказать значительное влияние на безопасность приложения, если объект впоследствии используется в доверенных операциях. Эта уязвимость может позволить злоумышленнику устанавливать произвольные и неожиданные ключи для объекта, возвращаемого JSON5.parse. Фактическое воздействие будет зависеть от того, как приложения используют возвращаемый объект и как они фильтруют нежелательные ключи, но может включать отказ в обслуживании, межсайтовый скриптинг, повышение привилегий и, в крайних случаях, удаленное выполнение кода. JSON5.parse должен ограничивать разбор ключей proto при разборе строк JSON в объекты. Для справки, метод JSON.parse, включенный в JavaScript, игнорирует ключи proto. Простая замена JSON5.parse на JSON.parse в примерах выше смягчает эту уязвимость. Эта уязвимость исправлена ​​в версиях json5 1.0.2, 2.2.2 и более поздних.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1