Contaminación de Prototipos

Bloquea los ataques de contaminación de prototipos de JSON no confiable: lodash.merge inseguro, Object.assign y los analizadores recursivos pueden envenenar cada objeto en tu proceso.

Receta

Tarjeta de receta de referencia rápida: lista para copiar y pegar.

import { z } from "zod";
 
// Prefiere el análisis sobre la fusión para dar forma a las solicitudes
const SettingsSchema = z.object({
  theme: z.enum(["light", "dark"]).optional(),
  notifications: z.boolean().optional(),
});
 
function updateSettings(body: unknown) {
  return SettingsSchema.parse(body);
}

Cuándo usarlo:

• El código usa _.merge, _.defaultsDeep o asignación profunda personalizada en req.body.
• Comportamiento extraño en toda la aplicación después de cargas útiles POST específicas.
• La auditoría de dependencias marca CVE de lodash para la contaminación de prototipos.
• Analizar cadenas de consulta anidadas en objetos (?a[b][__proto__][x]=1).

Ejemplo de trabajo

import { z } from "zod";
 
// VULNERABLE - no hagas esto con entradas no confiables
function vulnerableMerge(target: Record<string, unknown>, source: unknown) {
  // eslint-disable-next-line @typescript-eslint/no-require-imports
  const _ = require("lodash");
  return _.merge(target, source);
}
 
// SEGURO - esquema explícito, sin claves de prototipo
const PatchSchema = z.object({
  displayName: z.string().min(1).max(80).optional(),
  locale: z.string().regex(/^[a-z]{2}$/).optional(),
}).strict();
 
function safePatch(body: unknown) {
  return PatchSchema.parse(body);
}
 
// SEGURO - asignación superficial con lista de bloqueo si debes fusionar
function safeShallowAssign<T extends Record<string, unknown>>(
  target: T,
  source: unknown
): T {
  if (typeof source !== "object" || source === null || Array.isArray(source)) {
    throw new Error("Invalid source");
  }
  for (const key of Object.keys(source)) {
    if (["__proto__", "constructor", "prototype"].includes(key)) continue;
    target[key as keyof T] = (source as Record<string, unknown>)[key] as T[keyof T];
  }
  return target;
}
 
// Demostración: el intento de ataque falla con Zod strict()
const attack = JSON.parse('{"displayName":"Ada","__proto__":{"isAdmin":true}}');
safePatch(attack); // lanza un error - clave desconocida en modo estricto

Lo que esto demuestra:

• _.merge copia recursivamente las claves __proto__ en los prototipos en versiones vulnerables.
• Zod .strict() rechaza claves desconocidas, incluyendo __proto__.
• La asignación superficial con lista de bloqueo es más segura que la fusión profunda para datos no confiables.
• JSON.parse en sí mismo está bien, el peligro es dónde asignas los datos analizados.

Análisis Profundo

Cómo funciona

• Los objetos JavaScript heredan de Object.prototype.
• Los atacantes envían {"__proto__": {"polluted": true}} o {"constructor": {"prototype": {"polluted": true}}}.
• La fusión vulnerable recorre las claves y establece Object.prototype.polluted = true.
• Todos los objetos {} pueden entonces parecer tener polluted, afectando las comprobaciones de autenticación, if (obj.isAdmin), etc.

APIs de alto riesgo

Guía de lodash

npm ls lodash
npm audit

• Actualiza a lodash 4.17.21+ parcheado.
• Prefiere Zod o structuredClone de DTOs validados sobre la fusión.
• Si se requiere la fusión, usa _.mergeWith y rechaza las claves peligrosas en el personalizador.

Detección

if (Object.prototype.hasOwnProperty("isAdmin")) {
  throw new Error("Prototype pollution detected");
}

• Agrega pruebas de seguridad de CI con cargas útiles conocidas de los avisos de Snyk.
• Revisión de código grep: merge(, defaultsDeep, Object.assign(req.body.

Errores comunes

• Propagar req.body en la creación de Mongoose/Prisma - asignación masiva + contaminación. Solución: Analizar con Zod a DTO primero.
• qs allowPrototypes: true (predeterminado en configuraciones antiguas) - contaminación de consultas. Solución: allowPrototypes: false.
• JSON Schema additionalProperties: true - acepta __proto__. Solución: additionalProperties: false o Zod strict.
• Fusión de configuración de plantilla del lado del servidor - la interfaz de usuario de administración guarda JSON fusionado globalmente. Solución: validar la entrada del administrador con un esquema.
• Asumir objetos de producción congelados - la contaminación es a nivel de proceso. Solución: reiniciar los pods si se detecta contaminación; corregir el sitio de fusión.
• Solo verificar __proto__ - la ruta constructor.prototype también funciona. Solución: bloquear las tres claves.

Alternativas

Preguntas frecuentes

Relacionado

• Conceptos básicos de seguridad - ejemplo de asignación segura
• OWASP Top 10 para APIs - asignación masiva
• Reglas de seguridad - línea base de validación de entrada
• Escaneo de dependencias - seguimiento de CVE de lodash

Versiones de la pila: Esta página fue escrita para Node.js 24.18.0 (LTS activa), npm 10+, TypeScript 5.6+, Express 5, Fastify 5 y NestJS 11.