CVE-2023-26136

概要

tough-cookie パッケージのバージョン 4.1.3 より前のバージョンは、rejectPublicSuffixes=false モードで CookieJar を使用する際の Cookie の不適切な処理により、プロトタイプ汚染（Prototype Pollution）に対して脆弱です。この問題は、オブジェクトの初期化方法に起因します。

• SealSecurityAssignment研究

  脆弱性 CVE-2023-26136 を調査中

• Tough-Cookie-v2.5.0-Patchedパッチ

  CVE-2023-26136プロトタイプ汚染脆弱性を修正したパッチ適用済みtough-cookie v2.5.0。MemoryCookieStoreでObject.create(null)を使用し、エクスプロイトのデモと単体テストが含まれます。

• SealSecurity_Examパッチ

  tough-cookie パッケージのプロトタイプ汚染の脆弱性 (CVE-2023-26136) を修正

• CVE-2023-26136