mongodb NPM パッケージ バージョン 6.6.2 で、リモート コード実行 (RCE) を引き起こすプロトタイプの汚染ガジェットが発見されました。
この脆弱性により、JavaScript 固有の関数がプロトタイプ オブジェクトに任意のプロパティを挿入することが可能になります。
私が追加したコードは、extraOptions オブジェクトで指定されたプロパティが spawnArgs と ‘spawnPath’ に割り当てられる前に存在することを確認します。
これは、悪用される可能性のある Java スクリプトに対する RCe 攻撃を悪用します。
アプリケーションが持っている場合は注意してください。
コメント