概要
リアルタイムデータ同期サーバー deepstream.io のバージョン 10.0.5 未満に、Prototype Pollution 脆弱性（CVE-2026-49252）が存在します。CVSSスコアは 9.9（Critical）です。
deepstream.io は、クライアントおよびバックエンドサービス間でのデータ同期、メッセージング、RPC を大規模に提供するリアルタイムサーバーです。認証済みユーザーがレコードへの書き込み権限を持つ場合、Prototype Pollution を通じて任意のユーザーから特権昇格が可能になります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low（認証済み + レコード書き込み権限） |
| User Interaction | None |
| CWE | CWE-1321（Improperly Controlled Modification of Object Prototype Attributes） |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 修正バージョン |
|---|---|---|
| deepstream.io | 10.0.5 未満 | 10.0.5 |
修正バージョンと回避策
推奨対応: deepstream.io 10.0.5 へのアップデートを推奨します。
- GitHub Commit
- deepstream.io を npm でインストールしている場合は
npm update deepstream.ioで更新できます
暫定対策: レコードへの書き込み権限を最小権限原則に基づき厳格に管理することで、攻撃可能なユーザーを制限できます。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。