CVE-2026-3030 – Pollution de prototype dans JSON Merge Patch

Code du programme (Node.js)

// server.js - Vulnerable REST API with deep merge
const express = require('express');
const app = express();
app.use(express.json());

let config = {
    role: 'user',
    settings: {}
};

// Insecure deep merge function (pollutable via __proto__)
function deepMerge(target, source) {
    for (const key in source) {
        if (source[key] && typeof source[key] === 'object' && !Array.isArray(source[key])) {
            if (!target[key]) target[key] = {};
            deepMerge(target[key], source[key]);
        } else {
            target[key] = source[key];
        }
    }
    return target;
}

app.patch('/config', (req, res) => {
    deepMerge(config, req.body);
    res.json(config);
});

app.get('/admin', (req, res) => {
    // Check admin via a property that could be polluted
    if (config.role === 'admin' || config.isAdmin) {
        res.send('Welcome Admin!');
    } else {
        res.status(403).send('Forbidden');
    }
});

app.listen(3000, () => console.log('Server on :3000'));

CVE-2026-3030 – Pollution de prototype via JSON Merge Patch

Vue d'ensemble

Une API Node.js utilise une fonction de fusion profonde vulnérable pour appliquer des correctifs JSON. En envoyant __proto__ comme clé, un attaquant peut polluer le prototype de l'objet global, ajoutant ou écrasant des propriétés telles que isAdmin, ce qui conduit à une élévation de privilèges.

Détails de la vulnérabilité

Type : Pollution de prototype
Impact : Élévation de privilèges, déni de service, parfois RCE.
Cause racine : La fonction deepMerge copie les clés sans vérifier __proto__ ou constructor, permettant une injection dans Object.prototype.

Démonstration de l'exploit

Démarrez le serveur :
```
npm install express
node server.js
```
Exécutez l'exploit :
```
python exploit_prototype_pollution.py
```

Populaires

CVE-2026-3030-Prototype-Pollution-in-JSON-Merge-Patch