使用angularfire@2.x.x的firebase@3.x.x客户端是否受hoek原型污染漏洞影响？

核心结论 #

仅在客户端运行的angularfire@2.x.x + firebase@3.x.x应用，不存在该hoek原型污染漏洞的实际风险。

漏洞背景回顾 #

• hoek 是 firebase@3.x.x 的子依赖包，存在原型污染安全漏洞
• Firebase团队已在 firebase@4.x.x 版本中修复该漏洞，但此版本属于破坏性更新，angularfire@2.x.x 不兼容该版本，导致依赖 angularfire@2.x.x 的用户无法直接升级
• 该漏洞的危害主要针对服务端运行的应用：
  • 攻击者可通过漏洞为服务器上所有现有对象添加恶意属性，比如替换 toString 或 valueOf 方法，改变代码执行流程或引发错误
  • 至少会造成拒绝服务，例如破坏 express 模块导致服务器崩溃或返回500错误
  • 极端情况下可构造复杂payload实现远程代码执行

为什么客户端应用无风险？ #

原型污染漏洞的核心危害在于攻击者能够在共享的服务端环境中注入恶意逻辑，影响所有访问该服务的用户。但对于仅在客户端运行的应用来说：

• 用户只能操作自己浏览器内的运行环境，就算触发了原型污染，影响范围也仅限于自身浏览器，不会波及其他用户或服务器
• 客户端场景下，攻击者无法通过该漏洞获取超出用户自身权限的能力，也无法对服务端造成任何影响

额外建议 #

如果后续项目有机会升级到兼容 firebase@4.x.x 及以上版本的 angularfire 版本（比如 angularfire@4.x.x 及后续版本），建议及时完成升级，彻底消除潜在的漏洞隐患。

内容的提问来源于stack exchange，提问作者Rahul Gupta