CVE-2026-93753

deepmerge through 4.3.1 Prototype Poisoning via mergeObject

CVSS 3.1High

8.7/ 10.0

Опубликовано

18 сентября 2026 г.

Обновлено

24 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите deepmerge до версии старше 4.3.1 либо используйте безопасные обертки с фильтрацией опасных ключей.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Загрязнение прототипа (Prototype Poisoning) в библиотеке deepmerge через функцию mergeObject. Позволяет внедрять произвольные свойства в прототипы объектов.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция mergeObject() рекурсивно объединяет объекты без фильтрации служебных ключей вроде __proto__ или constructor.prototype в исходных структурах данных.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Подмена логики работы приложения, загрязнение глобальных свойств объектов и возможность обхода проверок безопасности или удаленного исполнения кода в уязвимом контексте.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

TehShrikedeepmerge

>= 0➔Патч не выпущен

——

>= 4.2.0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-93753: deepmerge through 4.3.1 Prototype Poisoning via mergeObject. URL: https://cve.futuretools.ru/cve/CVE-2026-93753

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_93753,
  title = {{CVE-2026-93753: deepmerge through 4.3.1 Prototype Poisoning via mergeObject}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-93753}},
  note = {Оперативный инженерный анализ киберугроз}
}