CVE-2026-48170
Təsvir
`scim-patch`, SCIM patch əməliyyatlarını yerinə yetirmək üçün kitabxana, 0.9.1 versiyasından əvvəl `value` obyektində `"__proto__.someProp"` kimi açar olan SCIM PATCH əməliyyatı tətbiq edildikdə prototip çirklənməsi həyata keçirir. Belə bir patchdən sonra `Object.prototype.someProp` proses səviyyəsində təyin edilir və Node prosesindəki hər adi obyektə təsir göstərir. Hücumçunun nəzarət etdiyi JSON üzərində `scimPatch()` çağıran istənilən xidmət (yəni xarici IdP-dən `PATCH` qəbul edən istənilən SCIM endpoint) standart Node mühitində istismara açıqdır. 0.9.1 versiyası düzəlişi ehtiva edir. Əvəzedici həll mövcuddur. Prosesin başlanğıcında `Object.freeze(Object.prototype)` çağırmaq (`Array.prototype`, `Function.prototype` üçün də eyni qaydada) bu sinif xətanı zərərsizləşdirir — dondurulmuş prototipə təyinetmə sloppy rejimdə səssiz əməliyyatsızlığa, strict rejimdə isə `TypeError`-a çevrilir. Node-un `--frozen-intrinsics` bayrağı bunu daxili obyektlər üçün avtomatik edir.
Necə düzəltmək olar
- scim-patch0.9.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| scim-patchnpm | v < 0.9.1 | 0.9.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.