La clé qui a empoisonné la base : Prototype Pollution

Tout objet JavaScript simple hérite d'un prototype partagé, accessible via la clé __proto__. Lire une propriété que l'objet ne définit pas renvoie à ce prototype.

Un merge récursif qui copie toutes les clés de l'entrée de l'attaquant, et qui descend dans les objets imbriqués, suivra un __proto__ imbriqué et assignera sur le prototype partagé au lieu de l'objet d'entrée. Un corps comme {"__proto__": {"isAdmin": true}} définit donc isAdmin sur le prototype dont tous les objets héritent.

Ensuite, tout objet sans isAdmin propre résout la recherche vers true. Une vérification d'authentification qui lit cette propriété par défaut passe désormais pour tout le monde.

• Répondre isAdmin. C'est la propriété qui est polluée ; la clé que le merge ne refuse pas est __proto__.
• Répondre merge. La fonction est le vecteur, mais la question demande la clé.
• Croire que cela ne modifie que votre objet. Écrire via __proto__ modifie le prototype partagé, ce qui touche tous les objets.
• Supposer qu'une valeur absente par défaut est sûre. La pollution fait résoudre les propriétés absentes vers une valeur choisie par l'attaquant.

Refusez les clés dangereuses et évitez les lectures de sécurité basées sur une valeur par défaut.

• Dans tout merge ou deep-assign sur des données non fiables, ignorez ou rejetez __proto__, constructor et prototype.
• Utilisez des objets sans prototype (Object.create(null)) ou une Map pour les données indexées par des noms non fiables.
• Préférez une bibliothèque de merge éprouvée ou structuredClone à un merge récursif maison ; dans Node, envisagez --disable-proto.
• Ne basez pas une décision de sécurité sur une propriété simplement censée être absente par défaut.