注目★★★★★GitHub Advisory
AdonisJS、プロトタイプ汚染の不完全修正が再度悪用可能に
30秒で把握
- 1CVE-2026-25754 の修正が不完全・ネストペイロードで回避可能・v10.1.3-10.1.4/v11.0.0-next.9-11.0.2 が影響
- 2認証なしの multipart/form-data リクエストで Object.prototype 汚染・lodash の中間オブジェクト生成が原因
- 3v10.1.5 以上 / v11.0.3 以上へ即座にアップグレード・入力検証ロジックの再確認推奨
要約
AdonisJS の bodyparser に、プロトタイプ汚染脆弱性 (CVE-2026-25754) の修正が不完全であることが判明した。ネストされたペイロード (例：`user.__proto__.polluted`) を使用すれば、既存の修正を回避して `Object.prototype` を汚染できる。影響を受けるのは v10.1.3〜10.1.4 および v11.0.0-next.9〜11.0.2 で、認証なしの multipart/form-data リクエスト 1 つで遠隔から悪用可能。lodash の `_.set()` が中間オブジェクトを通常オブジェクト `{}` で生成することが原因。
あなたへの影響
AdonisJS を本番運用しているチームは、直ちに v10.1.5 以上または v11.0.3 以上へのアップグレードを実施すること。
推奨：既に multipart/form-data を受け入れるエンドポイントがある場合は、デプロイ前に入力値検証ロジックを再確認し、オブジェクトプロトタイプへのアクセスを監視するテストを追加すべき。