React/Angular依赖库minimist原型污染漏洞的可利用性咨询

首先明确：minimist是一款处理命令行参数的JavaScript库，它的原型污染漏洞指攻击者可通过构造特定参数，篡改JavaScript的Object原型，进而影响所有继承自该原型的对象属性。

无需预先入侵的直接攻击场景 #

• 若服务器端存在用户可控的命令行输入传递给minimist处理的逻辑，比如允许用户提交自定义构建参数的在线Angular项目构建平台，攻击者可构造包含__proto__或constructor.prototype的恶意参数，示例：

  ng update --__proto__.authBypass=true
  

  这种参数会污染全局Object原型，若后续服务器代码中有依赖原型属性的逻辑（比如权限校验、文件路径拼接），攻击者就能篡改这些逻辑：比如绕过权限验证获取管理员权限，或修改文件读取路径来访问服务器上的敏感配置文件。
• 若开发者误用minimist处理前端用户输入（比如表单、URL参数），攻击者可通过前端输入注入恶意参数，污染前端全局对象原型，导致页面逻辑混乱，比如篡改页面显示内容、劫持用户操作，甚至结合其他漏洞实现XSS等进一步攻击。

需要预先获取服务器权限的场景 #

如果minimist仅用于本地开发环境或服务器端的离线构建流程，且攻击者无法直接控制命令行参数，那确实需要先通过其他漏洞获取服务器访问权限（比如拿到shell），之后在执行ng update等依赖minimist的命令时注入恶意参数，利用原型污染提升权限、篡改服务器文件或执行恶意代码。

针对该@angular/cli依赖链的额外说明 #

从依赖路径来看，minimist是@angular/cli的间接依赖，仅在@schematics/update相关命令流程中被调用。如果你的服务器存在自动执行ng update且参数可被攻击者控制的场景，就存在直接被利用的风险；若仅用于本地开发，风险主要来自本地环境被入侵后的后续利用。

内容的提问来源于stack exchange，提问作者Jota