CASL Ability 버전 2.4.0부터 6.7.4까지의 프로토타입 오염 취약성이 존재합니다. 특히, extra 모듈의 rulesToFields() 함수 내에서 발생합니다. 이 취약성은 setByPath() 함수가 속성 이름을 제대로 정화하지 못하기 때문에 발생합니다. 이 결함으로 인해 공격자는 속성 이름을 제대로 정화하지 않아 객체 프로토타입에 속성을 주입할 수 있습니다. 공격자는 취약성을 이용하여 객체 프로토타입에 속성을 추가하거나 수정할 수 있습니다. 따라서 공격자는 프로토타입 체인을 조작하여 Object.prototype에 쓸 수 있습니다. 이는 Node.js 프로세스 내에서 임의의 코드 실행을 가능하게 합니다. 영향에는 인증 우회, 무단 접근, 애플리케이션 논리 조작이 포함됩니다. 또한, 애플리케이션 충돌 및 서비스 거부 조건으로 이어질 수 있습니다. CASL 라이브러리의 광범위한 사용으로 인해 이 취약성은 특히 위험하며, 여러 시스템에 위험을 초래합니다. 권장되는 해결책은 CASL Ability 버전 6.7.5 이상으로 업그레이드하는 것입니다. 이 취약성은 Alma Security의 Maor Caplan에 의해 조정되었습니다.