CVE-2026-106550 in Node-convict
Zusammenfassung
von VulDB • 07.10.2026
Die Node-convict-Bibliothek von Mozilla (Version 6.2.2 und höher) ist anfällig für eine Denial-of-Service-Vulnerability, die auf unzureichenden Schutzmaßnahmen gegen Prototype Pollution in der Funktion `config.set()` beruht. Ein Angreifer, der den Konfigurationsschlüssel kontrollieren kann, willkürliche Eigenschaften an `constructor.<key>` schreiben, was von `walk()` zur globalen Object-Funktion aufgelöst wird. Dies ermöglicht das Überschreiben von Kern-JavaScript-Methoden wie `Object.assign`, was zu persistenten prozessweiten Ausfällen führt und einen Neustart erfordert. Die Schwachstelle umgeht bestehende Filter, die nur `constructor.prototype.*` und `__proto__.*` blockieren. Für eine Exploitation ist ein Endpunkt erforderlich, der angreiferkontrollierte Schlüssel an `config.set()` weiterleitet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.