GitHub 安全公告库 (GHSA)·2026-10-23 00:28· 6 小时前精选AI 评分58

@graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，12.0.2 已修复

GraphQL Tools: Prototype pollution in mergeIncrementalResult via non-primitive path segments

AI 导读

GitHub 安全公告披露 @graphql-tools/utils 的 mergeIncrementalResult 存在原型污染，攻击者可用数组形式的 path 段绕过 __proto__ 等键名检查，向 Object.prototype 写入任意属性。

为什么值得看

报告给出可运行复现与 npm 各版本实测差异，说明非原始类型 path 段如何绕过键名检查写入 Object.prototype。