npmパッケージ「tough-cookie」にプロトタイプ汚染の脆弱性

Salesforceが提供する「Node.js」向けのCookie管理用モジュール「tough-cookie」に脆弱性が明らかとなった。アップデートにて修正されている。

「CookieJar」の特定設定環境下において、プロトタイプ汚染の脆弱性「CVE-2023-26136」が明らかとなったもの。オブジェクトの初期化に問題があり、プロパティ情報を汚染されるおそれがある。

Snykでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」、重要度を「中（Medium）」とレーティングした。

一方、米国立標準技術研究所（NIST）による脆弱性データベース「NVD」では、影響の評価が異なり、CVSS基本値を「9.8」、重要度を「クリティカル（Critical）」としている。

現地時間6月6日に公開した「同4.1.3」にて同脆弱性を解消した。6月30日には概念実証（PoC）など詳細が公開されている。

（Security NEXT - 2023/07/10 ）ツイート