CVE-2026-103918

oRPC, uçtan uca tip güvenli ve OpenAPI standartlarına uygun API'ler oluşturmaya yardımcı olan bir araçtır. 1.14.10 sürümünden önce, @orpc/zod ZodSmartCoercionPlugin ve experimental_ZodSmartCoercionPlugin, nesne ve kayıt özelliklerini düz nesnelerde toplamakta ve şekil anahtarlarını prototip zinciri üzerinden çözmektedir. Nesne veya kayıt girdisine sahip bir prosedüre erişebilen uzak bir istemci, döndürülen istek nesnesinin prototipini değiştirmek için __proto__ sağlayabilir; bu durum, saldırgan tarafından kontrol edilen kalıtımlı değerlerin uygulama aramalarına ulaşmasına izin verir. Nesne şemaları için constructor, toString ve __proto__ gibi anahtarlar, bunun yerine kalıtımlanmış üyeleri Zod şemaları olarak çözümleyebilir ve doğrulama öncesinde işlenmemiş bir TypeError'a neden olabilir. Global Object.prototype, ilgisiz nesneler, diğer istekler ve diğer kullanıcılar değiştirilmez ve kullanılabilirlik üzerindeki etki, kalıcı süreç genelindeki durumdan ziyade özel olarak hazırlanmış isteklerle sınırlıdır. Bu sorun 1.14.10 sürümünde düzeltilmiştir.