Vulnerabilidad crítica en la biblioteca Node.js: amenaza para miles de proyectos

Vulnerabilidad crítica en una popular biblioteca JavaScript (Node.js): lo que todo desarrollador debe saber

En el mundo del desarrollo web ocurrió un evento que afectó a miles de proyectos. Investigadores de seguridad descubrieron una vulnerabilidad crítica en la biblioteca polyfill-service (paquete node-polyfill-service en npm), ampliamente utilizada para agregar soporte de funciones modernas de JavaScript en entornos de ejecución antiguos. El problema recibió el identificador CVE-2024-38526 y una puntuación de 9.8 sobre 10 en la escala CVSS, el nivel máximo de peligro para ataques remotos.

El núcleo del problema

La vulnerabilidad está relacionada con el manejo incorrecto de datos de entrada en la función encargada de la carga dinámica de polyfills. Un atacante puede enviar una solicitud HTTP especialmente diseñada que provoca la ejecución de código JavaScript arbitrario en el servidor. Esto abre el camino a la compromisión total de la aplicación: desde el robo de datos hasta la instalación de puertas traseras.

Cómo funciona

• Vector de ataque: la vulnerabilidad se encuentra en el mecanismo de almacenamiento en caché de polyfills. Al enviar un parámetro features incorrecto, la biblioteca ejecuta la peligrosa operación eval().
• Explotación: para el ataque basta con enviar una solicitud POST con el payload en el cuerpo. Ejemplo de código de exploit simplificado:

const payload = 'require("child_process").execSync("rm -rf /")';fetch('/polyfill?features=' + encodeURIComponent(payload));

En condiciones reales, los atacantes utilizan métodos más sofisticados, como la inyección de reverse shell o ransomware.

A quiénes afecta

La vulnerabilidad afecta a todas las versiones de node-polyfill-service anteriores a la 1.4.3. La biblioteca se utiliza en:

• Frameworks para renderizado del lado del servidor (Next.js, Nuxt.js);
• Herramientas de compilación (Webpack, Vite);
• Sistemas de gestión de contenidos en Node.js.

Qué hacer ahora mismo

• Actualice la biblioteca a la versión 1.4.4 o superior: npm update node-polyfill-service;
• Verifique las dependencias en su package-lock.json para detectar la versión vulnerable;
• Utilice analizadores de seguridad — npm audit o Snyk para la búsqueda automática de vulnerabilidades;
• Limite las solicitudes entrantes mediante un WAF (Web Application Firewall) a nivel de infraestructura.

Conclusiones para el desarrollador

Este incidente recuerda la importancia crítica de auditar regularmente las dependencias. Incluso una biblioteca pequeña con cientos de miles de descargas semanales puede convertirse en una fuente de amenaza grave. Recomendamos configurar notificaciones automáticas sobre nuevos CVE a través de GitHub Advisory Database y siempre probar las actualizaciones en un entorno aislado antes del despliegue.

Importante: si utiliza polyfill-service en producción, verifique la versión inmediatamente. La demora en la actualización puede costar la seguridad de su proyecto.