「Node.js」向けMySQLクライアントにプロトタイプ汚染の脆弱性

「Node.js」向けに提供されている「MySQL」クライアントの「MySQL2」に脆弱性が判明した。実証コードも公開されている。

「nestTables」の使用時にプロトタイプ汚染を引き起こされるおそれがある脆弱性「CVE-2024-21512」が明らかとなったもの。

CVE番号を採番したSnykでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「8.2」、重要度を4段階中、上から2番目にあたる「高（High）」とレーティングしている。

脆弱性については詳細が公開されており、実証コード（PoC）も公開されている。

開発チームでは同脆弱性を解消した「同3.9.8」を5月26日にリリースした。その後バグの修正なども実施しており、最新版は「同3.10.0」となっている。

「MySQL2」については「同3.9.6」および以前のバージョンにコードインジェクションの脆弱性「CVE-2024-21511」も明らかとなり、「同3.9.7」で修正されていた。

（Security NEXT - 2024/06/04 ）ツイート