JVNDB-2026-009587

Locutusにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

Locutusは教育目的で他のプログラミング言語の標準ライブラリをJavaScriptに持ち込むものです。バージョン3.0.25以前の`locutus/php/var/unserialize`にある`unserialize()`関数は、`__proto__`キーをフィルタリングせずに角括弧記法を使って逆シリアライズされたキーをプレインオブジェクトに割り当てます。PHPのシリアライズされたペイロードに`__proto__`が配列またはオブジェクトのキーとして含まれている場合、JavaScriptの`__proto__`セッターが呼び出され、逆シリアライズされたオブジェクトのプロトタイプが攻撃者制御の内容に置き換えられます。これにより、プロパティの注入やin演算子による注入プロパティの伝播、および組み込みメソッドの上書きによるサービス拒否が可能となります。以前報告された`parse_str`のプロトタイプ汚染（GHSA-f98m-q3hr-p5wq、GHSA-rxrv-835q-v5mh）とは異なり、`unserialize`は別の関数で、緩和策は適用されていません。この問題はバージョン3.0.25で修正されました。

Locutus

• Locutus 3.0.25 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Prototype injection via \_\_proto\_\_ key in unserialize() enables property injection and method override on deserialized objects  Advisory  locutusjs/locutus  GitHub

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-33993

1. National Vulnerability Database (NVD) : CVE-2026-33993
2. 関連文書 : fix: harden php prototype pollution sinks by kvz  Pull Request #597  locutusjs/locutus  GitHub
3. 関連文書 : Release v3.0.25  locutusjs/locutus  GitHub
4. 関連文書 : fix: harden php prototype pollution sinks (#597)  locutusjs/locutus@345a621  GitHub

• [2026年04月02日]
    掲載