Node.js'te prototip kirletme saldırısı nedir?

npm'den indirilebilen modülleri inceleyerek lodash başta olmak üzere birçok modülde prototip kirletme zafiyetleri bulunduğunu keşfedip raporladı. Ardından, gerçekten zafiyet barındıran Ghost CMS'yi kullanarak, parola sıfırlama isteği için gereken verileri değiştirip sunucu üzerinde hesap makinesi uygulamasını çalıştıran bir demoyu da başarıyla gerçekleştirdi.

JavaScript çalışma ortamında prototip kirletme riskinin ortaya çıkabileceği uzun zamandır konuşuluyordu; ancak bunun Node.js ortamındaki web sunucularına saldırmak için kullanılacağını muhtemelen kimse düşünmemişti.

Bu yazıda, kişisel olarak da aklımda tutmak adına, söz konusu saldırının arkasındaki prensibi açıklamak istiyorum.