Risiko durch Entpacken von json-strings in JS-Objekte

[topialla]

Problem:

@benbender sagt: Es ist möglich, wenn man nicht aufpasst, beim Entpacken von json-strings in JS-Objekte potenziell anderen Code zu überschreiben.

Das tun wir viel, aber spielt vmtl eine praktisch eher kleinere Rolle, weil die Hürde solche Daten ins System zu kriegen nicht ganz klein und der Benefit, den man als Angreifer erreichen kann, nicht sonderlich attraktiv ist. Aber dennoch sollte es dafür eine Mitigation geben.

Referenz:

https://medium.com/intrinsic-blog/javascript-prototype-poisoning-vulnerabilities-in-the-wild-7bc15347c96

Mitigation:

https://github.com/unjs/destr

[benbender]

Possible mitigation: 67e57af