CVE-2026-106550 in Node-convict
الملخص
بحسب VulDB • 07/10/2026
تواجه Node-convict الخاصة بـ Mozilla (الإصدار 6.2.2 وما بعده) ثغرة في خدمة الرفض (Denial of Service) ناتجة عن حماية غير كافية ضد تلوث الكائنات الأولية (prototype pollution) في دالة `config.set()`. يمكن للمهاجم الذي يتحكم في مفتاح التكوين كتابة خصائص عشوائية إلى `constructor.<key>`، والتي تحلها الدالة `walk()` لتشير إلى دالة `Object` العالمية. يتيح ذلك تجاوز طرق JavaScript الأساسية مثل `Object.assign`، مما يؤدي إلى أعطال مستمرة على مستوى العملية بأكملها ويتطلب إعادة تشغيل الخدمة. تتجاوز هذه الثغرة الفلاتر الحالية التي تمنع فقط الأنماط `constructor.prototype.*` و `__proto__.*`. يتطلب استغلال الثغرة وجود نقطة نهاية (endpoint) تقوم بتوجيه مفاتيح يتحكم فيها المهاجم إلى دالة `config.set()`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.