2026-10-16 03:26:14 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

BRuteLogic 披露：EJS < v6.0.0-alpha 原型污染可致 RCE

Ots安全

2026年10月8日 15:11
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

威胁简报

恶意软件

漏洞攻击

导语

2026 年 10 月 7 日，知名 Web 安全研究员 BRuteLogic（Rodolfo Assis） 在 X（原 Twitter）上发布一条简短但杀伤力极强的披露：

Node.js RCE via EJS (<v6.0.0-alpha)
Unsafe merge - Prototype Pollution leading to RCE via template rendering.

配图是一张实验截图：左侧是一段存在 unsafeMerge 递归合并漏洞的 Express 服务端代码，右侧终端里同一个 /api/status 接口先是正常返回 <h1>Hello Guest</h1>，在攻击者向 /api/config 投递一个含 __proto__ 键的 JSON 后，再次访问即输出 id 命令的结果——整个服务器被“远程命令执行”了。

这不是新漏洞类型，却是一个值得警惕的版本边界提醒：研究者认为，EJS 官方直到 v6.0.0-alpha 才真正补上这个原型污染→RCE 的利用面，意味着大量仍在使用 3.x/4.x/5.x 的 Node.js 应用可能仍在风险之中。

一、事件概述：一张图里有什么

推文附图可拆解为三部分：

① 漏洞服务端（server.js）

unsafeMerge(target, source)

：递归合并函数，未对 __proto__、constructor、prototype 做过滤；
* POST /api/config

：把请求体 req.body 直接合并进内部配置对象；
* GET /api/status

：调用 res.render('index', { user: 'Guest' }) 渲染 EJS 模板。

② 普通模板（views/index.ejs）

<h1>Hello <%= user %></h1>

这个模板本身没有 SSTI 风险，但 EJS 渲染时读取的某些选项会被污染。

③ 攻击结果

攻击者先 POST 一个 JSON 到 /api/config；
再正常 GET /api/status；
返回页面里出现 id 命令输出，证明命令执行成功。

二、核心原理：不安全的合并 + EJS 选项继承

2.1 不安全的递归合并

服务端的核心问题不在 EJS，而在应用自己的合并函数。简化逻辑如下：

function unsafeMerge(target, source) {  for (let key insource) {    if (typeof source[key] === 'object') {      if (!target[key]) target[key] = {};      unsafeMerge(target[key], source[key]);    } else {      target[key] = source[key]; // X    }  }  return target;}

当攻击者发送：

{  \"__proto__\":{    \"client\":true,    \"escapeFunction\":\"function(){ /* 攻击者控制的代码逻辑 */ }\"  }}

target[key] = source[key] 中的 key 为 __proto__ 时，所有对象的默认原型Object.prototype 被改写。这不是普通的对象属性赋值，而是直接污染了原型链。

2.2 EJS 如何利用被污染的选项

EJS 在渲染模板时会读取多个选项，其中与本链相关的有：

opts.client

：决定模板是否按客户端模式编译；
* opts.escapeFunction

：被拼接到生成的模板函数源码中，作为 HTML 转义函数。

当这些选项未在 opts 自身上定义时，JavaScript 会沿着原型链向上查找，于是落到被污染的 Object.prototype.client 和 Object.prototype.escapeFunction。EJS 把攻击者提供的字符串直接嵌入生成的模板函数，一旦该函数被执行，就等同于在服务端运行任意 Node.js 代码。

研究者为了验证 RCE，在 escapeFunction 里放置了一个会调用 child_process.spawnSync('id') 的函数；实际利用中，该位置可以替换为任何 Node.js 可执行代码。