Socket.IO: 不安全なクライアントセッション参照によるプロトタイプ汚染
### 影響
これは、`@socket.io/cluster-engine`における**プロトタイプ汚染/不適切なクライアント参照**の脆弱性です。
`@socket.io/cluster-engine`を使用しているサーバーでは、攻撃者が制御するセッションIDがクラスタ構成で処理される際に、影響を受ける可能性があります。悪意のあるクライアントは、`__proto__`、`constructor`などの特殊なプロパティ名、または他の継承されたオブジェクトキーをセッション識別子として使用し、サーバーが実際の接続クライアントのプロパティだけでなく、オブジェクトのプロトタイプチェーンからのプロパティを読み取ってしまう可能性があります。
影響は、**サービス拒否（DoS）**によるプロセスクラッシュです。
`@socket.io/cluster-engine`を使用していないアプリケーションは、この特定の脆弱性には影響を受けません。
影響を受けるバージョン：
* `@socket.io/cluster-engine@0.1.0`
### 修正
この問題は、以下のバージョンで修正されました。
* `@socket.io/cluster-engine@0.1.1`
### 対策
直ちにアップグレードできない場合は、ユーザーは以下の方法でリスクを軽減できます。
- クラスタエンジンに到達する前に、疑わしいセッションIDを拒否またはサニタイズする。
- クラスタエンジンを、任意のクライアントがEngine.IOセッション関連の生の要求を作成できない、信頼できるインフラストラクチャの背後に配置する。
これらの対策は、あくまで防御の多層化です。修正されたバージョンへのアップグレードを推奨します。
影響を受けるパッケージ：
- npm (JavaScript) `@socket.io/cluster-engine`: 影響を受けるバージョンは 0.1.1 未満、0.1.1 で修正済み。