Prototype Pollution

O aplicativo permite que um usuário polua o protótipo.

A poluição de protótipo é um ataque que permite que um usuário mal-intencionado substitua o protótipo de um objeto.
Para entender a poluição dos protótipos, você deve primeiro entender a herança dos protótipos. Os protótipos e a cadeia de protótipos são usados como uma pesquisa de propriedades e funções em JavaScript, fornecendo herança. Ao tentar acessar uma propriedade em um determinado objeto, a definição atual do objeto é verificada. Se o objeto atual não definir a propriedade, a classe do protótipo será verificada. Os protótipos são verificados recursivamente até que a propriedade seja encontrada ou não haja mais protótipos definidos.

Como a maioria dos objetos em JavaScript, por padrão, tem um protótipo apontando para Object.prototype, se um invasor puder sobrescrever o protótipo de um objeto, ele normalmente poderá sobrescrever a definição de Object.prototype, afetando todos os objetos dentro do aplicativo.

Se o aplicativo (ou qualquer uma de suas dependências) depende do fato de que as propriedades podem ser undefined em vez de sempre serem explicitamente definidas, então se o protótipo foi poluído, o aplicativo poderá ler inadvertidamente o protótipo em vez do objeto pretendido.

A poluição do protótipo pode ocorrer quando:

1. Os dados entram em um programa por uma fonte não confiável.



2. Os dados são passados para uma API que permite sobrescrever o protótipo.

Exemplo 1: O código a seguir usa uma versão vulnerável de lodash para poluir o protótipo do objeto:

import * as lodash from 'lodash'
...
let clonedObject = lodash.merge({}, JSON.parse(untrustedInput));
...

Nesse ponto, se a entrada não confiável for {"__proto__": { "isAdmin": true}}, então Object.prototype terá definido isAdmin = true.

Considere o código a seguir, que existe mais adiante no aplicativo.

...
let config = {}
if (isAuthorizedAsAdmin()){
    config.isAdmin = true;
}
...
if (config.isAdmin) {
    // do something as the admin
}
...

Embora isAdmin só deve ser definido como verdadeiro se isAuthorizedAdmin() retorna verdadeiro, porque o aplicativo não consegue definir config.isAdmin = false na outra condição, ele se baseia no fato de que config.isAdmin === undefined === false.
Infelizmente, como o protótipo foi poluído, o protótipo de config agora foi definido isAdmin === true, que permite que a autorização do administrador seja ignorada.