Child process environment injection via prototype pollution
该报告还没有中文解读。
原文摘录
摘自原文（2079 字符中的一小部分）
**Summary:** prototype pollution causes polluted system environment for child processes.
原文中的代码
'use strict';
const {spawnSync} = require('child_process');
// Prototype injection entered directly here for demonstration purposes, normally would be
// accomplished by exploiting a vulnerable npm module, https://www.npmjs.com/advisories/1164
// for example.
({}).__proto__.NODE_OPTIONS = …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Node.js 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @coreyfarrell · 版权归作者与 Node.js 所有