概要
SCIMパッチ操作を処理するnpmパッケージ scim-patch において、パッチ処理時のキーが適切にフィルタリングされないため、プロトタイプ汚染（Prototype Pollution）が発生します。
プロトタイプ汚染は、JavaScriptオブジェクトの __proto__ や constructor などのプロトタイプチェーンを通じてアプリケーション全体の動作に影響を与える可能性があります。SCIMはユーザ・グループ管理の自動化に使用される業界標準プロトコルであり、SaaS/エンタープライズ向けのNode.jsアプリケーションで使用されているケースがあります。
CVSSベクトル
GHSA評価: Critical（数値スコアは非公開）。
| 項目 | 内容 |
|---|---|
| 攻撃経路 (AV) | ネットワーク (N) |
| 攻撃複雑度 (AC) | 低 (L) |
| 必要権限 (PR) | 不要/低 (N/L) — SCIMエンドポイントへのアクセス権限 |
| ユーザ操作 (UI) | 不要 (N) |
| 影響範囲 (S) | アプリケーション全体 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| scim-patch | thomaspoignant | < 0.9.1 |
修正バージョンと対応方法
修正バージョン: scim-patch 0.9.1
package.jsonまたはpackage-lock.jsonでscim-patchのバージョンを確認するnpm install scim-patch@0.9.1またはnpm update scim-patchでアップデートする- 依存パッケージ経由での利用がある場合は
npm auditで確認する
関連リンク
データソース: GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。