CVE-2022-46175

JSON5 è un'estensione del popolare formato di file JSON che mira a essere più facile da scrivere e mantenere manualmente (ad esempio, per file di configurazione). Il metodo `parse` della libreria JSON5, nelle versioni 1.0.1 e 2.2.1 e precedenti, non limita l'analisi delle chiavi chiamate `__proto__`, consentendo a stringhe appositamente create di inquinare il prototype dell'oggetto risultante. Questa vulnerabilità inquina il prototype dell'oggetto restituito da `JSON5.parse` e non quello del global Object, che è la definizione comunemente intesa di Prototype Pollution. Tuttavia, inquinare il prototype di un singolo oggetto può avere un impatto di sicurezza significativo per un'applicazione se l'oggetto viene successivamente utilizzato in operazioni affidabili. Questa vulnerabilità potrebbe permettere a un attaccante di impostare chiavi arbitrarie e inaspettate sull'oggetto restituito da `JSON5.parse`. L'impatto reale dipenderà da come le applicazioni utilizzano l'oggetto restituito e da come filtrano le chiavi indesiderate, ma potrebbe includere denial of service, cross-site scripting, escalation dei privilegi e, in casi estremi, esecuzione di codice remoto. `JSON5.parse` dovrebbe limitare l'analisi delle chiavi `__proto__` durante il parsing di stringhe JSON in oggetti. A titolo di riferimento, il metodo `JSON.parse` incluso in JavaScript ignora le chiavi `__proto__`. Sostituire semplicemente `JSON5.parse` con `JSON.parse` negli esempi sopra mitigano questa vulnerabilità. Questa vulnerabilità è stata corretta nelle versioni 1.0.2, 2.2.2 e successive di json5.