CVE-2026-48170

إصدارات scim-patch الأقدم من 0.9.1

يتعرض scim-patch لـ ”تلوث النموذج الأولي“ (prototype pollution)، وهي حالة يمكن فيها للمهاجم التلاعب بالنموذج الأولي لفئات الكائنات الأساسية. يحدث هذا عندما تعالج الدالة scimPatch() عملية SCIM PATCH حيث يحتوي الكائن value على مفاتيح مثل proto .someProp. وهذا يسمح للمهاجم بتعيين خصائص على نطاق العملية بأكملها على Object.prototype، مما يؤثر على كل كائن عادي داخل عملية Node. قد يؤدي ذلك إلى تصعيد الامتيازات إذا قامت برامج الوساطة الخاصة بالمصادقة بفحص العلامات المنطقية (boolean flags) على الكائنات العادية، أو تجاوز المنطق، أو رفض الخدمة (DoS). تنشأ هذه المشكلة عندما تتتبع الدالة assign() مسار المفاتيح دون تصفية المفاتيح الخطرة.

قم بتحديث scim-patch إلى الإصدار 0.9.1.

كحل مؤقت، قم باستدعاء Object.freeze(Object.prototype) وObject.freeze(Array.prototype) وObject.freeze(Function.prototype) عند بدء تشغيل العملية.

أو بدلاً من ذلك، استخدم علامة Node --frozen-intrinsics لتجميد المكونات المدمجة تلقائيًا.