概要
CASL Abilityにはプロトタイプ汚染の脆弱性が存在します。
影響を受けるシステム
- CASL Ability 2.4.0から6.7.4まで
詳細情報
CASLはUIコンポーネント、APIサービス、データベースクエリにおけるアクセス制御の管理に使用されるJavaScriptライブラリであり、CASL Abilityは許可の定義とチェックを担うコアパッケージです。CASL Abilityには、extraモジュールのruleToFields()関数から呼び出されるsetByPath()関数において、プロパティ名無害化の不備に起因するプロトタイプ汚染の脆弱性（CVE-2026-1774、CWE-1321）が存在します。
想定される影響
細工された入力を処理することでObject.prototypeを操作される可能性があります。
結果として、当該ライブラリを使用しているアプリケーションにおいて任意のコードを実行される可能性があります。
対策方法
アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。 本脆弱性は次のバージョンで修正されています。
- CASL Ability 6.7.5
ベンダ情報
| ベンダ | リンク |
|---|---|
| Sergii Stotskyi | Release @casl/ability: v6.7.5 - stalniy/casl |
参考情報
-
CERT/CC Vulnerability Note VU#458422
CASL Ability contains a prototype pollution vulnerability
JPCERT/CCからの補足情報
JPCERT/CCによる脆弱性分析結果
謝辞