Poluição de Protótipo

Bloqueie ataques de poluição de protótipo a partir de JSON não confiável - _.merge inseguro, Object.assign e parsers recursivos podem envenenar todos os objetos do seu processo.

Receita

Cartão de receita de referência rápida - pronto para copiar e colar.

import { z } from "zod";
 
// Prefira parse em vez de merge para modelagem de requisição
const SettingsSchema = z.object({
  theme: z.enum(["light", "dark"]).optional(),
  notifications: z.boolean().optional(),
});
 
function updateSettings(body: unknown) {
  return SettingsSchema.parse(body);
}

Quando usar isto:

• Código usa _.merge, _.defaultsDeep, ou atribuição profunda personalizada em req.body.
• Comportamento estranho em toda a aplicação após payloads específicos de POST.
• Auditoria de dependências sinaliza CVEs do lodash para poluição de protótipo.
• Análise de strings de consulta aninhadas em objetos (?a[b][__proto__][x]=1).

Exemplo de Trabalho

import { z } from "zod";
 
// VULNERÁVEL - não faça isso com entrada não confiável
function vulnerableMerge(target: Record<string, unknown>, source: unknown) {
  // eslint-disable-next-line @typescript-eslint/no-require-imports
  const _ = require("lodash");
  return _.merge(target, source);
}
 
// SEGURO - esquema explícito, sem chaves de protótipo
const PatchSchema = z.object({
  displayName: z.string().min(1).max(80).optional(),
  locale: z.string().regex(/^[a-z]{2}$/).optional(),
}).strict();
 
function safePatch(body: unknown) {
  return PatchSchema.parse(body);
}
 
// SEGURO - atribuição superficial com lista de bloqueio se você precisar mesclar
function safeShallowAssign<T extends Record<string, unknown>>(
  target: T,
  source: unknown
): T {
  if (typeof source !== "object" || source === null || Array.isArray(source)) {
    throw new Error("Fonte inválida");
  }
  for (const key of Object.keys(source)) {
    if (["__proto__", "constructor", "prototype"].includes(key)) continue;
    target[key as keyof T] = (source as Record<string, unknown>)[key] as T[keyof T];
  }
  return target;
}
 
// Demonstração: tentativa de ataque falha Zod strict()
const attack = JSON.parse('{"displayName":"Ada","__proto__":{"isAdmin":true}}');
safePatch(attack); // lança erro - chave desconhecida em modo strict

O que isso demonstra:

• _.merge copia recursivamente chaves __proto__ para protótipos em versões vulneráveis.
• Zod .strict() rejeita chaves desconhecidas, incluindo __proto__.
• Atribuição superficial com lista de bloqueio é mais segura do que mesclagem profunda para dados não confiáveis.
• JSON.parse em si é seguro - o perigo está onde você atribui os valores analisados.

Análise Detalhada

Como Funciona

• Objetos JavaScript herdam de Object.prototype.
• Atacantes enviam {"__proto__": {"polluted": true}} ou {"constructor": {"prototype": {"polluted": true}}}.
• Mesclagem vulnerável percorre as chaves e define Object.prototype.polluted = true.
• Todos os objetos {} podem então parecer ter polluted - afetando verificações de autenticação, if (obj.isAdmin), etc.

APIs de Alto Risco

Orientação do lodash

npm ls lodash
npm audit

• Atualize para o lodash 4.17.21+ corrigido.
• Prefira Zod ou structuredClone de DTOs validados em vez de mesclagem.
• Se a mesclagem for necessária, use _.mergeWith e rejeite chaves perigosas no customizador.

Detecção

if (Object.prototype.hasOwnProperty("isAdmin")) {
  throw new Error("Poluição de protótipo detectada");
}

• Adicione testes de segurança de CI com payloads conhecidos de avisos Snyk.
• Revisão de código grep: merge(, defaultsDeep, Object.assign(req.body.

Armadilhas

• Espalhar req.body para Mongoose/Prisma create - atribuição em massa + poluição. Correção: Analise com Zod para DTO primeiro.
• qs allowPrototypes: true (padrão em configurações antigas) - poluição de query. Correção: allowPrototypes: false.
• JSON Schema additionalProperties: true - aceita __proto__. Correção: additionalProperties: false ou Zod strict.
• Mesclagem de configuração de template no lado do servidor - UI de administrador salva JSON mesclado globalmente. Correção: Valide o esquema da entrada do administrador.
• Assumir objetos de produção congelados - a poluição é em todo o processo. Correção: Reinicie os pods se a poluição for detectada; corrija o local da mesclagem.
• Verificar apenas __proto__ - o caminho constructor.prototype também funciona. Correção: Bloqueie todas as três chaves.

Alternativas

FAQs

Relacionados

• Noções Básicas de Segurança - exemplo de atribuição segura
• OWASP Top 10 para APIs - atribuição em massa
• Regras de Segurança - linha de base de validação de entrada
• Verificação de Dependências - rastreamento de CVEs do lodash

Versões da Pilha: Esta página foi escrita para Node.js 24.18.0 (LTS Ativo), npm 10+, TypeScript 5.6+, Express 5, Fastify 5, e NestJS 11.