Fcmam5

O Mongoose utiliza valores de chave de discriminador controlados por atacantes, incluindo o campo padrão ` t`, para indexar registros de objetos simples, como `Model.discriminators` e `schema.discriminators`, sem exigir que a propriedade seja própria do objeto. Consequentemente, valores como `constructor`, `toString` ou `hasOwnProperty` podem resolver para funções integradas herdadas em vez de um discriminador registrado, causando confusão de tipo na construção de modelos, criação de documentos, hidratação, conversão de consultas e atualizações, discriminadores incorporados e operações de preenchimento. Além disso, no caminho `insertOne` do `bulkWrite()` com `skipValidation` habilitado, um valor `constructor` pode fazer com que um objeto de entrada bruto seja armazenado sem a conversão de esquema ou filtragem rigorosa, e um documento envenenado armazenado pode fazer com que todas as consultas que o hidratem falhem até que o documento seja removido.

Este problema ocorre porque o software armazena `ThreadPool.options` como um objeto simples que herda de `Object.prototype`. Quando um primitivo de poluição de protótipo (prototype pollution) separado está presente, um invasor pode fornecer valores herdados para opções sensíveis de segurança que não possuem padrões próprios. Isso pode levar aos seguintes impactos: - Um valor `execArgv` herdado passado para o construtor do Node.js Worker pode pré-carregar código controlado pelo invasor em threads de trabalho. - Uma função `loadBalancer` herdada pode ser executada durante o agendamento de tarefas. - Valores `env` herdados podem alterar os ambientes de trabalho.

O Tinypool lê o nome do arquivo de um objeto de opções fornecido pelo chamador na função `pool.run(task, options)` sem verificar se a propriedade é uma propriedade própria do objeto. Isso permite que um `Object.prototype.filename` poluído substitua o módulo de worker pretendido. As aplicações são afetadas quando um objeto de opções personalizado é passado como o segundo argumento para `pool.run()`. Um invasor capaz de realizar a poluição de protótipo pode forçar o pool de workers a carregar JavaScript arbitrário, permitindo a leitura ou modificação de dados de tarefas usando os privilégios do processo hospedeiro.

Quando a função `qs.parse` é utilizada com as opções `comma` e `throwOnLimitExceeded` definidas como `true`, um valor separado por vírgulas atribuído a uma chave de empilhamento de colchetes (ex: `a[]=1,2,3,4`) é dividido em um array sem ser validado em relação ao `arrayLimit`. Em contraste, o mesmo valor atribuído a chaves planas, indexadas, aninhadas ou pontuadas dispara corretamente um `RangeError`. Isso ocorre porque a verificação do `arrayLimit` em `lib/parse.js` era aplicada após o valor ser envolvido como um elemento aninhado, e uma tentativa subsequente de corrigir isso usando uma flag `isFlatArrayValue` não considerou a forma de chave `[]=`. Um invasor não autenticado pode explorar isso fornecendo um único parâmetro `a[]=` para ignorar os limites configurados e forçar o parser a alocar um array proporcional ao tamanho da requisição, podendo levar ao consumo excessivo de memória.