prototípusfejl

A prototípusfejl (angolul "prototype pollution") egy biztonsági hiba, amely JavaScript programokban fordulhat elő, különösen olyan rendszerekben, amelyek objektumok prototípusainak módosítására támaszkodnak. A hiba akkor következik be, amikor egy támadó képes módosítani egy objektum prototípusát, ami azt jelenti, hogy az adott prototípusból öröklő összes objektum megörökli a támadó által végrehajtott módosítást.

Ez a fajta támadás gyakran akkor válik lehetségesé, amikor a program megbízhatatlan bemenetet fogad, például felhasználói adatokat, és ezt a bemenetet közvetlenül vagy közvetve használja fel objektumok tulajdonságainak beállítására vagy módosítására anélkül, hogy megfelelő validációt vagy tisztítást végezne. A támadó kihasználhatja ezt a bemenetet a `__proto__` vagy `constructor.prototype` tulajdonságok manipulálására, hogy új tulajdonságokat adjon hozzá, vagy meglévőket írjon felül a globális `Object.prototype` vagy más objektumok prototípusain.

A prototípusfejl következményei széleskörűek lehetnek, a rendszer váratlan viselkedésétől kezdve a kritikus biztonsági résekig. Például egy támadó módosíthatja a `toString` vagy `hasOwnProperty` metódusokat, hogy jogosulatlan hozzáférést szerezzen érzékeny adatokhoz, vagy hogy denial-of-service (DoS) támadást hajtson végre. A hiba kijavításához fontos a bemeneti adatok gondos validálása és tisztítása, valamint a prototípusok módosítását lehetővé tévő funkciók, mint például az `Object.assign` vagy a `JSON.parse` használatának körültekintő kezelése.