CVE-2026-61534

Yayson, JavaScript dilində JSON API məlumatlarını seriyallaşdırmaq və oxumaq üçün nəzərdə tutulmuş kitabxanadır. 4.3.0 versiyasından əvvəl, Store və LegacyStore komponentləri src/yayson/store.ts və src/yayson/legacy-store.ts fayllarındakı sadə obyekt axtarış cədvəllərində açarlar kimi hücumçunun idarə etdiyi JSON:API tipi, id və əlaqə adlarından istifadə edir. Tipi __proto__ olan sənəd, model-keş yazmalarının Object.prototype-u dəyişdirməsinə səbəb olur və burada hücumçu çirkləndirilmiş xüsusiyyət adını id vasitəsilə, onun dəyərini isə atributlar vasitəsilə idarə edir. Zərərli tip həmçinin daxil edilmiş resurs tərəfindən təmin edilə bilər və konfiqurasiya edilmiş tiplər xəritəsi __proto__ ilə həll olunduqda LegacyStore-a giriş mümkün olur. __proto__, constructor və prototype daxil olmaqla təhlükəsiz olmayan əlaqə adları sənəddən törəyən əlavə üzv yollarını təmin edir. Nəticədə proses miqyasında baş verən prototip çirklənməsi (prototype pollution) xidmətdən imtinaya və məntiqin pozulmasına səbəb ola bilər; avtorizasiyadan yan keçmə və ya kodun icrası isə istifadəçi tətbiqindəki müvafiq "gadget"-lərdən asılıdır. Bu problem 4.3.0 versiyasında düzəldilmişdir.