Версии до 2.6.6 уязвимы для загрязнения прототипами с помощью созданных струн с отсутствующего ключа при использовании для сохранения недос…

Версии до 2.6.6 уязвимы для загрязнения прототипами с помощью созданных струн с отсутствующего ключа при использовании для сохранения недостающих ключей перевода (например, через i18next-http-middleware's missingKeyHandler, подверженный ненадежному вводу). Backend.writeFile() разделяет каждую очерченную строку отсутствующего ключа на настроенном ключеSeparator (по умолчанию .), прежде чем вызвать внутренний ходок setPath(). Ходячий (getLastOfPath in lib/utils.js) не защищался от небезопасных сегментов, поэтому такой ключ, как "__proto___, polluted", был разделен на ["__proto__", "загрязненный"] и вошел прямо в Object.prototype, позволяя злоумышленнику записывать произвольные свойства на прототип глобального объекта. В зависимости от приложения хоста, загрязненные свойства прототипа могут вызывать сбои, поврежденное поведение перевода, отравление конфигурацией или обходы проверок безопасности на основе имущества. Приложения затрагиваются только в том случае, если пропущенныйKeyHandler (или другой маршрут, который направляет ненадежные органы запроса в i18next.t(..., { }) с saveMissing: true) доступен ненадежными пользователями, и используется поведение по умолчанию при разделении строк отсутствующего ключа на ключеSeparator (т.е. KeySeparator не является ложным). Приложения, которые не подвергают недосторожность ненадежному вводу, напрямую не затрагиваются этим путем атаки. Эта проблема исправлена в версии 2.6.6. Если разработчики, использующие библиотеку, не могут немедленно обновиться, они должны принять следующие меры предосторожности: не подвергать i18next-http-middlelware пропущенныйKeHandler ненадежным пользователям (монтировать его за аутентификацией или удалить маршрут), отключить постоянство отсутствующего ключа (saveMissing: false, or no backend.create реализация) при принятии письменных сообщений с ненадежного ввода и установить ключ.Вложенные ключи перевода).