Sécurité JSON : vulnérabilités courantes et comment les éviter

Pollution de prototype via une entrée JSON

Les objets JavaScript héritent d'une chaîne de prototypes partagée. Si du JSON non fiable contient une clé comme "__proto__" et que votre code la fusionne dans un objet existant sans protéger les clés spéciales, un attaquant peut injecter des propriétés sur Object.prototype lui-même. Cela touche tous les objets de votre application, pas seulement celui qui reçoit la fusion.

{
  "__proto__": {
    "isAdmin": true
  }
}

Fusionnez cela en profondeur dans un objet utilisateur avec une fusion récursive qui ne traite pas à part les clés __proto__, constructor ou prototype, et chaque objet du processus, y compris ceux qui n'ont jamais touché cette charge utile, peut se retrouver avec une propriété isAdmin à true. Des attaquants ont exploité cette classe de vulnérabilités dans plusieurs bibliothèques npm populaires de fusion/extension.

Comment éviter la pollution de prototype

Utilisez Object.create(null) pour les maps construites à partir de clés non fiables, car il n'a pas de prototype à polluer. Préférez Map aux objets simples quand les clés viennent d'une saisie utilisateur et que vous n'avez pas besoin de sérialiser le résultat en JSON. Si vous devez fusionner en profondeur du JSON non fiable dans un objet existant, utilisez un utilitaire de fusion qui bloque __proto__, constructor et prototype comme clés, et vérifiez si votre dépendance a corrigé le problème (la plupart des grandes bibliothèques l'ont fait dans les versions récentes) au lieu de le supposer. Gardez vos dépendances à jour : les mainteneurs ont corrigé cette classe de vulnérabilités à de nombreuses reprises dans des paquets populaires, à mesure que des chercheurs trouvaient de nouveaux contournements.

Désérialisation non sûre au-delà du simple JSON.parse

JSON.parse() seul produit des données brutes : chaînes, nombres, booléens, null, objets simples et tableaux. Il ne peut ni construire des instances de classes arbitraires ni exécuter de code, contrairement à d'autres formats de sérialisation (le pickle de Python peut exécuter du code arbitraire pendant la désérialisation). Le risque apparaît quand une fonction reviver ou une étape en aval reconstruit des instances de classes ou exécute de la logique à partir de valeurs de champs non fiables. Exemple : du code qui lit un champ "type" dans le JSON et s'en sert pour faire un require() de module ou un dispatch vers un gestionnaire par nom, sans vérifier la chaîne contre une liste d'autorisation.

Valider contre un schéma avant de faire confiance au JSON non fiable

JSON.parse() garantit la validité syntaxique et rien d'autre ; il ne dit pas si les données correspondent à la forme attendue par votre code. Un corps de requête en JSON valide mais privé d'un champ obligatoire, ou avec une chaîne là où vous attendiez un nombre, peut faire planter le code en aval ou produire un comportement erroné sans erreur. Validez le JSON entrant contre un schéma (JSON Schema, Zod, Joi ou équivalent) avant de l'utiliser. Vous interceptez les structures malformées à la frontière, vous les rejetez avec un message d'erreur utile au lieu d'un plantage confus trois fonctions plus loin, et le schéma documente la forme attendue par le point de terminaison.

Une liste de contrôle pratique

Validez le JSON non fiable contre un schéma à la frontière, avant qu'il n'atteigne la logique métier. Ne fusionnez pas en profondeur du JSON non fiable dans des objets durables sans un utilitaire de fusion qui bloque les clés dangereuses. Évitez les fonctions reviver ou le dispatch dynamique fondé sur des champs de chaînes non fiables, sauf si vous vérifiez les valeurs contre une liste d'autorisation. Gardez à jour les dépendances qui manipulent du JSON (analyseurs, utilitaires de fusion, validateurs de schéma), car les chercheurs continuent de trouver de nouvelles variantes de ces bogues. Fixez des limites de taille aux corps de requête JSON pour réduire l'exposition aux attaques par épuisement de ressources via des charges très imbriquées ou très volumineuses.