CWE-1321

O produto recebe entrada de um componente a montante que especifica atributos a serem inicializados ou atualizados em um objeto, mas não controla adequadamente as modificações de atributos do prototype do objeto.

Consequências comuns

• Confidencialidade, Integridade, Disponibilidade → Ler Dados da Aplicação, Modificar Dados da Aplicação
• Disponibilidade → DoS: Travamento, Encerramento ou Reinicialização

Mitigações

• Implementação: Ao congelar primeiro o prototype do objeto (por exemplo, Object.freeze(Object.prototype)), a modificação do prototype torna-se impossível.
• Arquitetura e Projeto: Ao bloquear modificações de atributos que resolvem para o prototype do objeto, como proto ou prototype, essa fraqueza pode ser mitigada.
• Implementação: Ao lidar com objetos não confiáveis, a validação usando um schema pode ser utilizada.
• Implementação: Ao usar um objeto sem prototypes (via Object.create(null)), adicionar atributos ao prototype do objeto acessando o prototype por meio dos atributos especiais torna-se impossível, mitigando essa fraqueza.
• Implementação: Map pode ser usado em vez de objetos na maioria dos casos. Se os métodos de Map forem usados em vez de atributos de objeto, não é possível acessar o prototype do objeto ou modificá-lo.