Json5 · Json5 · CVE-2022-46175
**Nome do software vulnerável e versões afetadas**
Versões 1.0.1 e anteriores do json5
Versões 2.2.1 e anteriores do json5
**Descrição**
O método `parse` da biblioteca json5 não restringe a análise de chaves denominadas ` proto `, permitindo que strings especialmente criadas contaminem o protótipo do objeto resultante. Essa vulnerabilidade pode permitir que um invasor defina chaves arbitrárias e inesperadas no objeto retornado por `JSON5.parse`. O impacto real dependerá de como as aplicações utilizam o objeto retornado e de como filtram chaves indesejadas, mas pode incluir negação de serviço, cross-site scripting, elevação de privilégios e, em casos extremos, execução remota de código.
**Recomendações**
Para as versões 1.0.1 e anteriores do json5, atualize para a versão 1.0.2 ou posterior.
Para as versões 2.2.1 e anteriores do json5, atualize para a versão 2.2.2 ou posterior.
Como solução temporária, considere usar o método `JSON.parse` em vez de `JSON5.parse` para mitigar essa vulnerabilidade.
Restrinja o acesso ao método `parse` da biblioteca json5 para minimizar o risco de exploração.
Evite usar a chave ` proto ` no endpoint da API afetado até que o problema seja resolvido.