Webpack loader-utils原型污染漏洞修复及真实性咨询

漏洞真实性确认 #

该漏洞是真实存在的。版本低于2.0.3的loader-utils库中，parseQuery.js文件的parseQuery函数在处理name变量时存在原型污染风险——攻击者可通过构造特定恶意查询参数，篡改JavaScript对象的原型属性，进而引发一系列安全问题，比如篡改全局对象行为、窃取敏感数据等，属于高危安全漏洞。

修复方案 #

根据你的Angular 12项目情况，可按以下步骤修复：

1. 检查依赖类型 #

先执行命令确认loader-utils是项目直接依赖还是间接依赖：

npm ls loader-utils
# yarn 用户执行
yarn list loader-utils

2. 直接升级（若为直接依赖） #

如果项目直接声明了loader-utils依赖，直接升级到2.0.3及以上版本：

npm install loader-utils@>=2.0.3 --save
# yarn 用户执行
yarn add loader-utils@>=2.0.3

3. 修复间接依赖（Angular项目多为间接依赖） #

Angular 12通常通过webpack或相关loader间接引入loader-utils，可通过以下方式强制升级：

• 使用npm自动修复：
  执行命令自动修复兼容的漏洞版本：

  npm audit fix
  

  若存在版本冲突导致无法自动修复，可尝试强制修复（注意修复后需测试项目运行）：

  npm audit fix --force
  

• 手动锁定版本：
  在package.json中添加resolutions字段强制指定loader-utils版本：

  "resolutions": {
    "loader-utils": "^2.0.3"
  }
  

  • npm用户需先安装npm-force-resolutions工具，再执行安装：

    npm install -g npm-force-resolutions
    npm install
    

  • yarn用户直接执行：

    yarn install
    

4. 验证修复效果 #

修复完成后，再次执行依赖检查命令确认版本：

npm ls loader-utils
# 或 yarn list loader-utils

同时重新触发GitHub仓库的安全扫描，确认漏洞提示已消失。另外需测试项目的构建、运行是否正常，避免版本升级引发兼容性问题。

内容的提问来源于stack exchange，提问作者Mohan Kiran