WSTG Issue #1423 — プロトタイプポリューションテスト(WSTG-INPV-22)の追加
WSTG Issue #1423 — プロトタイプポリューションテストの追加
概要
WSTG にプロトタイプポリューション (Prototype Pollution) のテストセクション WSTG-INPV-22 を追加する PR。
詳細
これまで WSTG にはプロトタイプポリューションのcoverageが存在しなかった。インジェクションカテゴリの下に配置され、標準WSTG構造に従う:
- Summary: プロトタイプポリューションの概要
- Test Objectives: テスト目的
- How to Test: ブラックボックス + グレーボックステスト手順
- Remediation: 緩和策
- References: Olivier Arteau (NSEC18), BlackFan (クライアントサイド), PortSwigger ガジェット研究, Kibana CVE-2019-7609
- Tools: 関連ツール
重要な区別:
- HTTP Parameter Pollution (HPP) とは無関係であることを明確化
- サーバサイド (Node.js) とクライアントサイドの両 variant をカバー
セキュリティ影響
- カテゴリ: WSTG-INPV (Input Validation Testing)
- 重要度: High — Node.js/JavaScript アプリケーションに深刻な影響
- CVE例: CVE-2019-7609 (Kibana)