sift-hardened

Drop-in-Ersatz für sift 17.1.3, der CVE-2026-85625 behebt.

Nicht verbunden mit crcn/sift.js.

Änderungen gegenüber 17.1.3

• Abfrageschlüssel werden mit Object.keys (nur eigene Eigenschaften) aufgezählt, sodass ein manipuliertes Object.prototype.$where nicht als Operator behandelt wird.
• String-$where-Werte werden abgelehnt. Funktion-$where funktioniert weiterhin.

Installation (npm-Alias)

"overrides": {
  "sift": "github:lgranadoi/sift-hardened#17.1.4"
}