关键信息 漏洞概述 漏洞类型: Prototype Pollution 受影响的包: js-toml (npm) 受影响版本: < 1.0.2 修复版本: 1.0.2 描述 描述: js-toml 中存在原型污染漏洞，允许远程攻击者通过解析恶意构造的 TOML 输入来添加或修改全局 的属性。 影响 影响: 攻击者可以通过解析包含特殊构造的 键的 TOML 字符串来添加或修改全局 的属性。虽然 js-toml 库本身不包含已知的易受攻击的“小工具”，但这可能导致使用该库的应用程序出现严重的安全漏洞，如身份验证绕过、拒绝服务（DoS）或远程代码执行（RCE）。 修复措施 修复版本: 1.0.2 建议: 所有用户应升级到版本 1.0.2 或更高版本以缓解此问题。 权宜之计 权宜之计: 如果无法升级到修复版本，唯一的方法是确保传递给 js-toml 库的任何 TOML 输入来自完全可信的来源，并且已经验证不包含恶意键。 参考资料 发现者: siunam PoC: GitHub Gist 更多解释: PortSwigger CVSS 评分 严重性: 高 (7.9/10) CVE ID: CVE-2025-54803 弱点: CWE-1321