Prototype Pollution in Yayson JSON:API-bibliotheek (CVE-2026-61534)

Wat is er gebeurd

Er is een prototype pollution-kwetsbaarheid vastgesteld in de deserialisatiecode van Yayson's Store en LegacyStore (src/yayson/store.ts en src/yayson/legacy-store.ts). Deze componenten gebruiken door aanvallers controleerbare waarden uit JSON:API-documenten — met name de velden 'type', 'id' en relatienamen — als sleutels in gewone JavaScript-objecten, zonder deze te saneren. Een document waarvan het type is ingesteld op '__proto__' zorgt ervoor dat de model-cache rechtstreeks naar Object.prototype schrijft, waarbij de aanvaller de naam van de vervuilde eigenschap bepaalt via het 'id'-veld en de waarde via de 'attributes'.

Technische oorzaak

De onderliggende oorzaak is CWE-1321 (ongecontroleerde wijziging van Object Prototype-attributen). Omdat Store en LegacyStore ongefilterde 'type'-, 'id'- en relatie-identifiers uit JSON:API gebruiken als objectsleutels, worden speciale eigenschapsnamen zoals '__proto__', 'constructor' en 'prototype' niet uitgesloten. Hierdoor kan een kwaadaardig geconstrueerd document — ook wanneer dit via een 'included'-resource wordt aangeleverd — Object.prototype bereiken en wijzigen. LegacyStore is eveneens kwetsbaar wanneer de geconfigureerde types-mapping van een applicatie resulteert in '__proto__', wat een extra aanvalspad biedt.

Waarom dit belangrijk is

Prototype pollution raakt alle objecten binnen een JavaScript-proces, omdat Object.prototype globaal wordt gedeeld. Dit kan leiden tot denial-of-service doordat gedeeld objectgedrag wordt verstoord, en kan applicatielogica op onvoorspelbare manieren corrumperen. Volgens de advisory hangt verdere impact — zoals het omzeilen van autorisatie of het uitvoeren van code — af van de aanwezigheid van zogeheten 'gadgets' (codepaden die misbruikt kunnen worden zodra prototype-eigenschappen zijn vervuild) in de gebruikende applicatie. Dergelijke gadgets worden in deze advisory niet bevestigd; de beschreven basisimpact is denial-of-service en logicacorruptie.

Wie wordt getroffen

Elke applicatie die het npm-pakket yayson gebruikt om JSON:API-data uit niet-vertrouwde of externe bronnen te deserialiseren, is potentieel kwetsbaar, aangezien de kwetsbaarheid wordt geactiveerd door het verwerken van door aanvallers aangeleverde documenten via Store of LegacyStore.

Getroffen versies

Alle yayson-versies vanaf 0 tot en met 4.2.0 zijn kwetsbaar.

Fixes en mitigatie

De kwetsbaarheid is verholpen in yayson-versie 4.3.0. Organisaties die yayson gebruiken, wordt aangeraden te upgraden naar versie 4.3.0 of hoger.

Aanbevolen actie

Werk yayson zo snel mogelijk bij naar versie 4.3.0, vooral bij applicaties die JSON:API-data verwerken die afkomstig is van externe of niet-vertrouwde bronnen. Controleer na het upgraden de applicatielogs op afwijkend gedrag dat kan wijzen op eerdere misbruikpogingen, en controleer eigen codepaden die mogelijk kwetsbaar zijn voor prototype pollution-gadgets.