[i18next] Prototype pollution attack
业务逻辑 / Modification of Assumed-Immutable Data (MAID) / #968355
该报告还没有中文解读。
原文摘录
摘自原文（3803 字符中的一小部分）
I would like to report a prototype pollution vulnerability in i18next. It allows to modify the prototype of a base object, which may result in DoS, XSS, RCE, etc. depending on the way the library is used.
原文中的代码
// -------------- deepExtend as defined in i18next --------------
function deepExtend(target, source, overwrite) {
/* eslint no-restricted-syntax: 0 */
for (const prop in source) {
if (prop !== '__proto__') {
if (prop in target) {
// If we reached a leaf string in target or …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Node.js third-party modules 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @0b5cur17y · 版权归作者与 Node.js third-party modules 所有