Contaminación de prototipos y fusiones de objetos

Cuando el código lee una propiedad que un objeto no tiene, JavaScript no se detiene: la busca en el prototipo del objeto, y luego en el prototipo de ese prototipo. Casi todos los objetos creados con llaves terminan en el mismo, Object.prototype. La clave especial __proto__ da acceso a ese prototipo, y constructor.prototype es otro camino al mismo sitio.

Una fusión recursiva típica recorre las claves de un objeto de origen y copia cada una en el destino, bajando por los objetos anidados. Si el origen viene de un JSON externo, puede traer una clave literal __proto__ (al analizar JSON, esa clave queda como propiedad propia del objeto). La función baja por ella, llega a Object.prototype y escribe ahí. MITRE la cataloga como CWE-1321. En el servidor, con Node.js, el efecto puede ser grave; en el navegador, el daño depende de qué código lea después una propiedad que no existe.

Abre el laboratorio. Lee fusionar.js y preferencias.js: la configuración del panel se arma fusionando unos valores fijos, las preferencias guardadas del usuario y un objeto que llega en la URL para que los enlaces se puedan compartir. Luego busca en errores-cliente.txt los eventos del vigilante que plataforma añadió el 4 de noviembre.

El alcance de un hallazgo en el navegador se mide por sesiones: cada sesión es una página cargada con su propio Object.prototype. Cuenta las sesiones distintas en las que el vigilante detectó el prototipo alterado. Una misma sesión puede aparecer más de una vez.

PanelSedes.vue decide qué sedes pedir mirando un permiso del usuario. El permiso que la recepción no tiene no aparece en su respuesta de /api/yo, así que su lectura cae en el prototipo. Cruza cada sesión con aviso del vigilante con registro-api-sedes.txt. Fíjate también en el origen de la sesión de la recepción: no escribió nada, abrió un enlace.

El servidor contuvo el daño esta vez, pero el panel tiene otras comprobaciones que leen propiedades ausentes, y un enlace compartido basta para alterar la página de otra persona.