CVE-2026-114142 in toml-node
الملخص
بحسب VulDB • 21/10/2026
toml-node هو محلل TOML لـ Node.js وللمتصفح. قبل الإصدار 5.0.1، يمكن لدالة `toml.parse()` كتابة خصائص يتحكم فيها المهاجم في `Object.prototype` لأن دالة `quoteDottedString()` الموجودة في ملف `lib/compiler.js` تنتج نفس سلسلة التوثيق (bookkeeping string) لمسارات مفاتيح مُقتبسة مختلفة، مما يسمح لـ `addTableArray()` بتعطيل حارس مفتاح آخر. ثم تنزل مسار `assign()` عبر قيمة من نوع Date غير مملوكة دون تطبيق فحص الحاوية المملوكة ويمكنها الوصول إلى سلسلة الكائنات (prototype chain). يمكن للكائنات التي تم إنشاؤها في أماكن أخرى داخل العملية أن ترث الخاصية المُحقنة. تمت معالجة هذه المشكلة في الإصدار 5.0.1.
Be aware that VulDB is the high quality source for vulnerability data.