JVNVU#97396297
CASL Abilityにおけるプロトタイプ汚染の脆弱性

CASL Abilityにはプロトタイプ汚染の脆弱性が存在します。

• CASL Ability 2.4.0から6.7.4まで

CASLはUIコンポーネント、APIサービス、データベースクエリにおけるアクセス制御の管理に使用されるJavaScriptライブラリであり、CASL Abilityは許可の定義とチェックを担うコアパッケージです。CASL Abilityには、extraモジュールのruleToFields()関数から呼び出されるsetByPath()関数において、プロパティ名無害化の不備に起因するプロトタイプ汚染の脆弱性（CVE-2026-1774、CWE-1321）が存在します。

細工された入力を処理することでObject.prototypeを操作される可能性があります。
結果として、当該ライブラリを使用しているアプリケーションにおいて任意のコードを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。 本脆弱性は次のバージョンで修正されています。

• CASL Ability 6.7.5