toml-node 5.0.0 原型污染漏洞公开 PoC
热点事件持续更新
toml-node 5.0.0 原型污染漏洞公开 PoC
1 篇报道1 个报道来源3 小时前更新
先了解这件事
AI 综述
GitHub 安全公告库（GHSA）发布公告，称 toml-node 5.0.0 存在原型污染漏洞，并附可复现 PoC：用 toml.parse() 解析一份四行 TOML 文档，即可把属性写入 Object.prototype，该属性对进程内所有对象可见，包括无关库生成的对象。 公告称，任何解析不可信来源 TOML 文档的应用都受影响，例如用户上传的配置文件、第三方包或仓库的清单、API 收到的文档。公告还称，去掉第二行（清除防护的头部）后，同一文档在 4.1.2 及以后版本会被正确拒绝，说明清除防护这一步是关键。 相关行号均指 5.0.0 的 lib/compiler.js。上述效果为公告所述，尚待独立验证。
AI 根据报道生成 · 2 小时前更新
最新进展10月23日 00:39
toml-node 5.0.0 仍可通过引号路径污染 Object.prototype，附 PoC报道时间线
沿着报道，了解事件的不同侧面。
10月23日
- GitHub 安全公告库 (GHSA)精选toml-node 5.0.0 仍可通过引号路径污染 Object.prototype，附 PoC
toml-node 5.0.0 中，用 toml.parse() 解析一份四行 TOML 文档即可把属性写入 Object.prototype，该属性对进程内所有对象可见。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。