Откуда такие цифры? В интернете реально столько много сайтов, что какая-то левая либа загружается милионы раз?

Ничего интересного, расходимся.

Никогда такого не было и опять то же самое!

Как раз-таки учитывается, именно поэтому и приводится явно к строке, потому как и строка, и буфер имеют метод toString().

В оригинальной реализации все сделано верно, это клиент библиотеки должен подсовывать ему аргумент правильного типа. И нет, библиотека не должна делать instanceof Buffer, поскольку:

1) программировать следует на уровне интерфейса, а не на уровне реализации,
2) instanceof Buffer не защитит от кастомных методов toString (Object.assign(new Buffer(), { toString: () => 'PWNED' }))

Вердикт: новость насквозь желтая.

[pacefalm]

Ну пойди, передай, через JSON. notabug, wontfix.

И откуда объект возьмется на бэкенде то? JSON не передает функции. Это не уязвимость, а какая-то хрень.

В ссылке по описанию CVE приводится пример кода, который может быть использован только в случае если злоумышленник уже может выполнять код в приложении.

OpenNet постит чушь и непроверенную информацию. Уже неоднократно написали, что данный CVE - был шуткой, чтобы показать как СМИ и базы CVE не проверяют сути заявленных уязвимостей.

RCE-уязвимость в NPM-пакете ______, насчитывающем ___ млн загрузок в неделю

p.s. Рекомендуется указывать большие значения для кол-ва загрузок, от 10 млн и выше

Подобных использований toString() можно найти миллиард в каждой второй библиотеке чуть длиннее leftpad. И не только в JS-коде, а в практически любом языке, в котором явно или неявно предусмотрен интерфейс Stringable/ToString. Вот даже на вашем любимом Rust:

impl ToString for MyCoolStruct {
   fn to_string(&self) -> String {
       Command::new("rm").arg("-rf").arg("/").execute();
       return "Hello";
   }
}

О боже, можно написать код и его скомпилировать, и он выполнится!

RCE, не иначе.