← Back
CVE-2026-54639
high
CVSS 8.8
Style Dictionary - Prototype Pollution in convertTokenData utility function
Summary
Style Dictionary - Prototype Pollution in convertTokenData utility function
AI summary openai / gpt-4o
Style Dictionaryは、バージョン4.3.0から5.4.4未満にかけて、プロトタイプ汚染の脆弱性があります。特にNodeJSサーバーアプリケーションに統合されている場合には影響が大きいです。修正は5.4.4で公開されましたが、既知の回避策はトークンデータの事前消毒です。
❓ What is the problem
Style Dictionaryのプロトタイプ汚染の脆弱性
📍 Affected scope
バージョン4.3.0から5.4.4未満
🔥 Severity
NodeJSサーバーアプリケーションで高い影響
🔧 How to fix
バージョン5.4.4にアップデートする
🛡️ Workaround
トークンデータを事前に消毒する
🔍 Detection
トークンデータ内の`__proto__`を含むオブジェクトキーを再帰的にチェック
Affected packages
npm
style-dictionary
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"5.4.4"}]}]
References
- web https://github.com/style-dictionary/style-dictionary/commit/209085d9782cfc0783c4d983f3f1bb2c515954ec
- web https://github.com/style-dictionary/style-dictionary/commit/23b5e8dda143441f0d6b8e2b4222e2da98058bc5
- web https://github.com/style-dictionary/style-dictionary/pull/1702
- web https://github.com/style-dictionary/style-dictionary/security/advisories/GHSA-vj5c-m527-mpff
- web https://nvd.nist.gov/vuln/detail/CVE-2026-54639
- web https://github.com/style-dictionary/style-dictionary/releases/tag/v5.4.4
- web https://github.com/advisories/GHSA-vj5c-m527-mpff