Prototype Pollution

Définition

La Prototype Pollution est une vulnérabilité spécifique à JavaScript qui permet à un attaquant d'injecter ou de modifier des propriétés sur le prototype global Object.prototype, via des clés spéciales comme __proto__, constructor.prototype ou prototype dans des structures de données manipulées sans validation, typiquement lors d'un merge, d'un clone profond ou d'un parsing JSON récursif. Une fois le prototype pollué, toutes les instances d'objets héritant de ce prototype se voient attribuer la propriété injectée, ce qui peut altérer la logique applicative, contourner des vérifications d'autorisation, provoquer un déni de service, ou dans les cas les plus graves conduire à une exécution de code à distance (RCE) côté serveur Node.js, notamment lorsque la propriété polluée est ensuite utilisée dans un template engine ou un appel de commande. Des bibliothèques populaires comme lodash (CVE-2019-10744, fonction merge/defaultsDeep) ou jQuery ont été historiquement vulnérables avant correction. La technique s'inscrit dans le tactique MITRE ATT&CK d'exploitation d'application. La remédiation repose sur l'usage de Object.freeze(Object.prototype), la validation stricte des clés d'entrée (rejet de __proto__, constructor, prototype), l'utilisation de Map plutôt que d'objets littéraux pour stocker des données non fiables, et la mise à jour des dépendances npm concernées identifiées via des scans SCA.