入力検証

プロトタイプ汚染（Node.js）— 本体が「脆弱性ではない」と定めた領域は、自分で守るしかない

プロトタイプ汚染は、外部入力に含まれる特殊なキーが再帰的マージなどを通って、JavaScriptの組み込みプロトタイプを書き換えてしまう欠陥。結果は2種類——設定した覚えのないプロパティが至るところに現れる（認可やオプションの判定が狂う）か、組み込みメソッドが消えてアプリが落ちる。重要なのは責任の所在で、Node.js公式は『これはNode.jsコアの脆弱性とは見なさない。ただしアプリと依存の層で防げ』と明記している。つまり待っていても誰も直さない。