Node.js में prototype pollution हमला क्या है

npm से उपलब्ध modules की जांच करते हुए, उन्होंने lodash से शुरू करके कई modules में prototype pollution vulnerability पाई और उसकी रिपोर्ट की। फिर वास्तव में vulnerability वाले Ghost CMS का उपयोग करके, password reset request के लिए ज़रूरी data में छेड़छाड़ कर server पर calculator application चलाने का demo भी सफलतापूर्वक दिखाया।

JavaScript execution environment में prototype pollution के जोखिम के बारे में काफ़ी समय से बात होती रही है, लेकिन शायद बहुतों ने यह नहीं सोचा होगा कि इसका उपयोग Node.js environment के web server पर हमला करने के लिए किया जा सकता है.

इस दस्तावेज़ में, व्यक्तिगत रूप से याद रखने के लिए भी, मैं इस हमले के सिद्धांत के बारे में समझाना चाहता हूँ.