論文の概要: X.js: A Live Benchmark for Node.js Taint-Style Vulnerabilities
- arxiv url: http://arxiv.org/abs/2610.18585v1
- Date: Tue, 13 Oct 2026 15:47:08 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-15 21:06:15.661512
- Title: X.js: A Live Benchmark for Node.js Taint-Style Vulnerabilities
- Title（参考訳）: X.js: Node.jsのテイントスタイル脆弱性のためのライブベンチマーク
- Abstract要約: 実世界のNode.jsテナントスタイルの脆弱性のライブベンチマークであるX.jsを紹介します。
X.jsは、各脆弱性と正確なソースとシンク位置、検証可能な実行可能エクスプロイトとその実行トレースをペアリングする。
中央の脆弱なパッケージは2021年から2022年にかけて約250 LoCから2026年には6,100 LoCへと成長した。
- 参考スコア（独自算出の注目度）: 6.871969087514053
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: JavaScript vulnerabilities in npm packages pose a significant risk to the Node.js ecosystem, and a growing body of work aims to detect, exploit, and mitigate them. Studying and evaluating this work requires up-to-date collections of real vulnerabilities, yet the most commonly used datasets stop recording vulnerabilities in 2022. We present X.js, a live benchmark of real-world Node.js taint-style vulnerabilities covering code and command injection, prototype pollution, and path traversal. Built from 1,738 advisories collected through mid-2026, primarily from the GitHub Advisory Database, X.js pairs each vulnerability with precise source and sink locations, a validated executable exploit and its execution trace, and, when available, a patched version of the package. X.js supports long-term reproducibility and growth: dependencies are mirrored in a self-hosted registry to guard against package removal from the ecosystem, and dedicated infrastructure generates and validates exploits for newly reported vulnerabilities. The current release contains 1,159 validated exploits for 965 packages. Using X.js, we characterize how the frequency, structure, and complexity of Node.js taint-style vulnerabilities have evolved over time. We find that these vulnerabilities are increasingly reported in large packages: the median vulnerable package grew from roughly 250 LoC in 2021--2022 to 6,100 LoC in 2026.
- Abstract（参考訳）: npmパッケージのJavaScript脆弱性は、Node.jsエコシステムに重大なリスクをもたらし、それらを検出し、悪用し、緩和することを目的としている。
この作業の研究と評価には、実際の脆弱性の最新のコレクションが必要であるが、最も一般的に使用されるデータセットは、2022年に脆弱性を記録するのをやめている。
我々は、コードとコマンドインジェクション、プロトタイプの汚染、パストラバーサルをカバーする、現実世界のNode.jsテナントスタイルの脆弱性のライブベンチマークであるX.jsを紹介した。
主にGitHub Advisory Databaseから2026年半ばに収集された1,738のアドバイザリから構築されたX.jsは、各脆弱性と正確なソースとシンク位置、検証可能な実行可能エクスプロイトとその実行トレースと、パッケージのパッチバージョンをペアリングする。
X.jsは長期の再現性と成長をサポートする。依存関係は自己ホスト型レジストリにミラーされ、エコシステムからのパッケージ削除を防ぎ、専用のインフラストラクチャが新たに報告された脆弱性に対するエクスプロイトを生成し、検証する。
現在のリリースには、965パッケージに対する1,159の検証済みエクスプロイトが含まれている。
X.jsを使うことで、Node.jsのテナントスタイルの脆弱性の頻度、構造、複雑さが時間とともにどのように進化してきたかを特徴づける。
中央の脆弱性パッケージは2021年から2022年にかけて約250 LoCから2026年には6,100 LoCへと成長しました。
関連論文リスト
- ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? [92.21756459993695]
低レベルのプログラム推論を必要とするため、爆発は難しい作業です。
その重要性と診断価値にもかかわらず、搾取は未評価のままである。
ExploitGymは、AIエージェントのエクスプロイト能力に関する大規模で多様な、現実的なベンチマークである。
論文 参考訳（メタデータ） (2026-05-11T18:00:14Z) - Taint-Style Vulnerability Detection and Confirmation for Node.js Packages Using LLM Agent Reasoning [7.678135270362941]
コードをスキャンし、脆弱性を提案し、概念実証のエクスプロイトを生成し、検証するために、多段階のエージェントパイプラインを実装します。
公開ベンチマークのパッケージでは、LLMVD$.jsが脆弱性の84%を確認し、以前のプログラム分析ツールでは22%未満である。
論文 参考訳（メタデータ） (2026-04-22T04:50:48Z) - Original Sin of npm: A Study on Vulnerability Propagation in JavaScript Dependency Networks [16.016433368001504]
本稿では、カスタム構築の脆弱性データベースから収集された脆弱性1,515件について考察する。
最初の脆弱性バージョンがnpmで公開されたときから、脆弱性のあるパッケージを修正するのに平均して4年11ヶ月かかる。
論文 参考訳（メタデータ） (2026-04-19T23:44:28Z) - Obfuscating Code Vulnerabilities against Static Analysis in JavaScript Code [3.7140746756072045]
本稿では,現状の静的アプリケーションセキュリティテストにおけるJavaScript難読化の影響を実証的に定量化する。
ディレクトリから16の脆弱性のあるNode.js Webアプリケーションを分析し、GitHubから260のJavaScript/Node.jsプロジェクトを分析します。
私たちの結果は、現在のJavaScript SASTは基本的に、一般的な難読化に対して堅牢ではなく、難読化コードの"クリーン"なレポートは、誤ったセキュリティ感覚を提供するだけであることを示している。
論文 参考訳（メタデータ） (2026-04-01T16:52:37Z) - Insecure Ingredients? Exploring Dependency Update Patterns of Bundled JavaScript Packages on the Web [0.0]
Aletheiaは、パッケージのバージョンを特定するためにJavaScriptバンドルを識別するパッケージに依存しないメソッドである。
Trancoのトップ10万のドメインをクロールして、5%から20%のドメインが16週間以内に依存関係を更新していることを明らかにします。
論文 参考訳（メタデータ） (2025-12-17T13:43:32Z) - Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。
35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。
ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
論文 参考訳（メタデータ） (2024-11-12T01:55:51Z) - FV8: A Forced Execution JavaScript Engine for Detecting Evasive Techniques [53.288368877654705]
FV8はJavaScriptコードの回避テクニックを特定するために設計された修正V8 JavaScriptエンジンである。
動的コードを条件付きで注入するAPI上でのコード実行を選択的に実施する。
1,443のnpmパッケージと、少なくとも1つのタイプのエスケープを含む164の(82%)拡張を識別する。
論文 参考訳（メタデータ） (2024-05-21T19:54:19Z) - JailbreakBench: An Open Robustness Benchmark for Jailbreaking Large Language Models [123.66104233291065]
ジェイルブレイク攻撃は、大きな言語モデル(LLM)が有害、非倫理的、またはその他の不快なコンテンツを生成する原因となる。
これらの攻撃を評価することは、現在のベンチマークと評価テクニックの収集が適切に対処していない、多くの課題を提示します。
JailbreakBenchは、以下のコンポーネントを備えたオープンソースのベンチマークである。
論文 参考訳（メタデータ） (2024-03-28T02:44:02Z) - Unveiling the Invisible: Detection and Evaluation of Prototype Pollution Gadgets with Dynamic Taint Analysis [4.8966278983718405]
本稿では、開発者がアプリケーションのソフトウェアサプライチェーンにあるガジェットを識別するのに役立つ最初の半自動パイプラインであるDastyを提案する。
DastyはサーバーサイドのNode.jsアプリケーションをターゲットにしており、動的テナント分析の強化に依存している。
私たちは、最も依存度の高いNPMパッケージの研究にDastyを使って、ACEにつながるガジェットの存在を分析します。
論文 参考訳（メタデータ） (2023-11-07T11:55:40Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。