Rollbar原型污染漏洞分析

漏洞概述

CVE-2025-57325是一个影响Rollbar JavaScript库的原型污染漏洞，被评定为低严重性级别。

受影响版本

• Rollbar <= 2.26.4
• Rollbar >= 3.0.0-alpha1, <= 3.0.0-beta4

已修复版本

• 2.26.5
• 3.0.0-beta5

漏洞详情

影响分析

该漏洞存在于Rollbar的实用工具函数rollbar/src/utility.set()中。当应用程序代码直接导入set函数并使用不受信任的输入作为第二个参数调用时，可能触发原型污染。

漏洞证明（POC）

1
2
3

const obj = {};
require("rollbar/src/utility").set(obj, "__proto__.polluted", "vulnerable");
console.log({}.polluted !== undefined ? '[POLLUTION_TRIGGERED]':'');

重要说明

使用已发布的公共接口时不会受到影响。只有当应用程序代码直接导入rollbar/src/utility中的set函数时才存在风险。

修复方案

补丁

漏洞已在以下版本中修复：

• 2.26.5
• 3.0.0-beta5

临时解决方案

如果应用程序代码直接导入了rollbar/src/utility中的set函数，应确保第二个参数不接受不受信任的输入。

技术指标

CVSS评分

• 总体评分：2.9/10（低严重性）

CVSS v4基础指标

• 攻击向量：网络
• 攻击复杂度：高
• 权限要求：无
• 用户交互：无

影响指标

• 机密性：低
• 完整性：低
• 可用性：低

相关资源

• GHSA ID: GHSA-r8c2-2qwq-94p6
• CVE ID: CVE-2025-57325
• 源代码仓库: rollbar/rollbar.js
• 修复提交: rollbar/rollbar.js@d717def

时间线

• 发布日期：2025年10月17日
• GitHub咨询数据库更新：2025年10月20日
• 最后更新：2025年10月20日

安全弱点分类

• CWE-1321：对象原型属性控制不当修改（原型污染）

该漏洞涉及对对象原型属性的不当控制修改，攻击者可能通过操纵对象原型来影响应用程序的行为。