Phoenix JavaScript presence client crashes on presence keys colliding with Object.prototype members in Presence.syncState/syncDiff

Improper Check for Unusual or Exceptional Conditions vulnerability in phoenixframework phoenix (Presence JavaScript client) allows an attacker with ordinary channel access to cause a persistent client-side denial of service against every viewer of a presence channel topic. This vulnerability is associated with program files assets/js/phoenix/presence.js and program routines Presence.syncState and Presence.syncDiff. The Phoenix JavaScript presence client checks whether a presence already exists with a bare truthiness test (state[key]) instead of an own-property check. Presence keys can be attacker-controlled, because applications track presences under a username or id supplied by the client. A user who joins a channel choosing a key that is an Object.prototype member name (__proto__, constructor, toString, hasOwnProperty, and similar) makes that lookup return JavaScript's built-in Object.prototype instead of undefined. Because the prototype is truthy, the code treats it as an existing presence and reads .metas.map(...) off it, which throws an uncaught TypeError. The exception propagates out of the presence message handler, so the local state is never updated and onSync() never fires. Because the malicious key is tracked on the server, it is re-pushed on every presence update and keeps re-throwing, so presence sync stays broken for every viewer of that channel topic until the attacker leaves. Both syncState and syncDiff use the same unsafe existence-check pattern. The impact is limited to the affected topic and is a read-time confusion of the prototype object, not a mutation of Object.prototype (it is not prototype pollution). This issue affects phoenix: from 1.2.0-rc.0 before 1.5.15, from 1.6.0-rc.0 before 1.6.17, from 1.7.0-rc.0 before 1.7.24, and from 1.8.0-rc.0 before 1.8.9; phoenix: from 1.2.0-rc.0 before 1.5.15, from 1.6.0-rc.0 before 1.6.17, from 1.7.0-rc.0 before 1.7.24, and from 1.8.0-rc.0 before 1.8.9.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 8 July 2026 [PDF, 1MB]], published on 8 July 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

phoenixframeworkのphoenix（Presence JavaScriptクライアント）における異常または例外条件の不適切なチェックの脆弱性により、通常のチャネルアクセス権を持つ攻撃者が、Presenceチャネルトピックのすべての閲覧者に対して永続的なクライアント側サービス拒否（DoS）を引き起こすことが可能です。この脆弱性は、プログラムファイルassets/js/phoenix/presence.jsおよびプログラムルーチンPresence.syncStateとPresence.syncDiffに関連しています。PhoenixのJavaScript presenceクライアントは、存在チェックに自身のプロパティかどうかではなく単純な真偽値テスト(state[key])を使用しています。Presenceのキーは攻撃者が制御可能であり、アプリケーションはクライアントから提供されたユーザー名やIDの下でpresencesを追跡しています。ユーザーがチャネルに参加する際に、Object.prototypeのメンバー名（__proto__、constructor、toString、hasOwnPropertyなど）をキーに選択すると、そのルックアップは未定義(undefined)ではなくJavaScriptの組み込みObject.prototypeを返します。プロトタイプはtruthyであるため、コードはそれを既存のpresenceとみなし、.metas.map(...)を読み取ろうとして未捕捉のTypeErrorを投げます。この例外はpresenceメッセージハンドラーの外に伝播し、その結果ローカルステートが更新されず、onSync()も発火しません。悪意のあるキーはサーバー上で追跡されるため、各presence更新時に再度プッシュされ続け例外が繰り返し発生し、そのチャネルトピックのすべての閲覧者に対してpresence同期が壊れ続けます。攻撃者が離脱するまで問題は解決されません。syncStateとsyncDiffは同じ安全でない存在確認パターンを使用しています。影響は対象トピックに限定され、プロトタイプオブジェクトの読み取り時の混乱であり、Object.prototypeの変更（プロトタイプ汚染）ではありません。この問題は、phoenixのバージョン1.2.0-rc.0から1.5.15未満、1.6.0-rc.0から1.6.17未満、1.7.0-rc.0から1.7.24未満、および1.8.0-rc.0から1.8.9未満に影響します。