Глубокое погружение в server-side Prototype Pollution общего Object.prototype в пределах одного JavaScript realm. Вы разберёте три фактические цепочки — authorization gadget, исторический гаджет EJS 3.1.6 и прикладной DoS с обработанным HTTP 500, — а также научитесь валидировать вход, писать безопасные sinks, использовать null-prototype-объекты и читать только own-свойства. Object.freeze и Node.js flags рассматриваются как опциональные компенсирующие меры. Пререквизиты: уверенное владение объектами JavaScript, Node.js/Express, JSON/HTTP и основами AppSec.
Глубокое понимание наследования через прототипы, __proto__, Object.prototype и механики property lookup.
Загрязнение прототипа через __proto__ в JSON merge и рекурсивных функциях. Защита через Object.create(null) и Map.
Эскалация Prototype Pollution через authorization-гаджеты и исторический gadget EJS 3.1.6. Основная защита — валидация, безопасные sinks и own-чтения; Object.freeze остаётся опциональной компенсирующей мерой.
Прикладной Denial of Service через inherited primitive, for...in и вызов метода не того типа, обработанный приложением как устойчивый HTTP 500. Защита через schema validation, безопасные sinks и own-итерацию.
Сравнение методов защиты, AST-анализ, реальные CVE в lodash, express-fileupload и других библиотеках; итоговая ментальная карта Prototype Pollution.
Многослойная защита приложения от Prototype Pollution и автоматизация обнаружения — SAST, SCA, DAST, runtime monitoring, CI/CD pipeline.