CVE-2026-54639

Çapraz platform stilleri oluşturmak için kullanılan bir derleme sistemi olan Style Dictionary, 4.3.0 sürümünden başlayarak ve 5.4.4 sürümünden önce olmak üzere bir prototype pollution zafiyetine sahiptir. Etkilenen kullanıcılar şunlardır: `convertTokenData(tokens, { output: 'object' });` fonksiyonunun doğrudan kullanımı; Expand API aracılığıyla dolaylı kullanım ve/veya SD'nin transform yaşam döngüsü aracılığıyla dolaylı kullanım. style-dictionary bir NodeJS sunucu uygulamasında entegrasyon olarak kullanıldığında etki yüksektir. style-dictionary bir Web uygulamasında entegrasyon olarak kullanıldığında etki orta düzeydedir. style-dictionary kullanıcısının aynı zamanda tokenları yönettiği ve erişimin, kullanıldığı depo/iş akışlarına yönelik okuma/yazma erişimi ile sınırlı olduğu çoğu yaygın durumda etki düşüktür. `5.4.4` sürümünde bir yama yayınlanmıştır. Bilinen tek geçici çözüm, öncelikle token verilerini temizlemektir. DTCG formatı veya eski Style Dictionary formatı kullanılıp kullanılmadığına bakılmaksızın, token veri nesnesi `__proto__` içeren herhangi bir nesne anahtarı için özyinelemeli olarak kontrol edilmelidir.