CVE-2026-54335

Feathersjs, TypeScript və ya JavaScript ilə veb API-lər və real zamanlı tətbiqlər yaratmaq üçün çərçivədir (framework). 5.0.44 və daha əvvəlki versiyalarda, @feathersjs/commons tərəfindən ixrac edilən _.merge(target, source) köməkçi funksiyası Object.keys(source) üzrə iterasiya edərək source obyektini target obyektinə rekursiv şəkildə birləşdirir. Source obyekti JSON.parse vasitəsilə yaradıldıqda və __proto__, constructor və ya prototype açarlarını ehtiva etdikdə, həmin açar özünəməxsus sadalanan (own-enumerable) xüsusiyyət kimi qaytarılır; daha sonra rekursiv birləşdirmə target['__proto__'] hissəsini Object.prototype olaraq müəyyən edir və hücumçu tərəfindən təqdim edilmiş xüsusiyyətləri onun üzərinə yazır. Bu proses Node prosesinin ömrü boyunca bütün sadə obyektlər üçün prototipin çirklənməsinə (prototype pollution) səbəb olur. Bu problem 5.0.45 versiyasında düzəldilmişdir.