Практическая защитная проверка FeathersJS commons по ghsa-28xv-ph75-77wh: применимость, обратимый тест границы «фильтрацию __proto__, constructor и prototype до рекурсивного merge», измеримый результат и stop-rule без production-данных.
Применимость к FeathersJS commons
До теста зафиксируйте provenance компонента: digest, способ установки, runtime-версию и активную ветвь конфигурации. Для границы «фильтрацию __proto__, constructor и prototype до рекурсивного merge» запишите версию живого процесса, build digest, источник пакета, включённую функцию и субъект, который вызывает этот путь. Reviewed Advisory перечисляет границы «@feathersjs/commons <= 5.0.44; first patched 5.0.45», однако запись в manifest ещё не доказывает установленную версию и reachability. Если provenance неполон, оставьте статус unknown. Not-applicable допустим только при доказанной версии вне affected range или документированно выключенной функции. Не переносите severity из advisory на свою среду без этих двух доказательств.
Что подтверждает GHSA-28xv-ph75-77wh
GitHub Reviewed Advisory опубликована 2026-07-14, обновлена 2026-07-14 и описывает для FeathersJS commons механизм: Prototype pollution in @feathersjs/commons _.merge via JSON-parsed __proto__. Подтверждённая package boundary: «@feathersjs/commons <= 5.0.44; first patched 5.0.45». Upstream-репозиторий https://github.com/feathersjs/feathers связывает запись с исходным проектом, но сам по себе не сообщает состояние конкретного развёртывания. Даты, summary и диапазоны взяты с прямой advisory-страницы https://github.com/advisories/GHSA-28xv-ph75-77wh, а не из поискового сниппета. Эти источники не доказывают эксплуатацию, ущерб, популярность запроса, индексацию или позицию страницы.
Отдельная пользовательская боль и доказательство
Здесь проверяется ровно одна боль: собственное enumerable-поле после JSON.parse может изменить Object.prototype для всех объектов процесса. До любого запуска создайте артефакт «ledger source-key / own-property / target-value / global-prototype-marker / cleanup-result» и заранее определите допустимые значения каждой колонки. Normal-control должен пройти на той же сборке, с теми же лимитами и через тот же кодовый путь. Один status code, исключение или отсутствие записи не является доказательством: нужны expected result, observed result, конфигурационная ветвь и cleanup. Маркеры не должны содержать токены, IP, реальные имена, документы, логи или внутренние адреса.
Безопасный обратимый тест
Подготовьте одноразовый Node process, normal nested object и JSON с dummy prototype marker без приложения. Затем нужно выполнить один локальный merge, проверить target и новый пустой object, затем завершить процесс независимо от результата. Заранее заданный защитный исход: normal field объединяется, опасный ключ отклоняется или игнорируется, новый object не содержит marker. Выполняйте опыт только локально или в одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и количества запросов. Не используйте production secrets, пользовательские данные, внешние цели или инструкции, пригодные для вторжения. Все markers остаются синтетическими, поэтому результат можно передать поддержке без пользовательского содержимого. После проверки удалите fixtures, повторите normal-control и сравните итоговый digest с baseline.
Решение по наблюдаемым результатам
Passed фиксируется, когда одновременно выполнено: normal field объединяется, опасный ключ отклоняется или игнорируется, новый object не содержит marker; normal-control сохранил ожидаемое поведение; cleanup вернул исходное состояние. Failed требует повторяемого расхождения на том же fixture и той же версии. Unknown остаётся при нестабильном trace, неполном provenance или неясной конфигурации. Результат оформляют как «ledger source-key / own-property / target-value / global-prototype-marker / cleanup-result», чтобы другой инженер мог проверить вывод без догадок. Не расширяйте вывод с одной границы на всю систему и не обещайте абсолютную защищённость после одного опыта.
Стоп-правило, обновление и пакет поддержки
Критерий остановки задаётся до запуска: завершить изолированный процесс при появлении marker на Object.prototype. Если runtime входит в affected range, получите обновление только из доверенного канала upstream https://github.com/feathersjs/feathers, зафиксируйте новый digest и повторите тот же fixture с прежними лимитами. Новый сценарий не подтверждает исправление старого. В обезличенный пакет поддержки включите runtime version, package boundary, конфигурационную ветвь, expected/observed, resource limits, timestamps, error class и хэши fixtures. Исключите credentials, cookies, абсолютные пути, внутренние hostname и содержимое данных.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт, privacy-ограничения и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-28xv-ph75-77wh проверено 2026-08-31
- Upstream-репозиторий FeathersJS commons проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.