CVE-2026-25521

Poprzednia łatka próbowała zablokować prototype pollution poprzez sprawdzanie, czy dane wejściowe użytkownika zawierają zabronione klucze. Atakujący może jednak dostarczyć spreparowane dane wejściowe wykorzystujące String.prototype, co pozwala ominąć to zabezpieczenie i mimo wszystko zanieczyścić Object.prototype. Modyfikacja Object.prototype wpływa na wszystkie obiekty w danym środowisku JavaScript, co może prowadzić do zmiany logiki działania aplikacji. Podatność sklasyfikowana jest jako CWE-1321 (Improperly Controlled Modification of Object Prototype Attributes).

Atakujący może zmodyfikować właściwości globalnego obiektu Object.prototype, co może skutkować nieautoryzowanym dostępem do zasobów, obejściem mechanizmów uwierzytelnienia lub autoryzacji, a w określonych scenariuszach również wykonaniem dowolnego kodu w kontekście aplikacji.

Należy zaktualizować bibliotekę Locutus do wersji 2.0.39 lub nowszej, w której podatność została naprawiona. Szczegóły dostępne w referencjach producenta na GitHub.

Biblioteka Locutus w wersjach od 2.0.12 do 2.0.38 (włącznie).

Podatność stanowi obejście wcześniejszej, niepełnej naprawy tego samego problemu. Poprawka dostępna w commit 042af9ca7fde2ff599120783e720a17f335bb01c w repozytorium locutusjs/locutus.