CVE-2026-50029 in js-toml
Zusammenfassung
von VulDB • 14.08.2026
js-toml ist ein TOML-Parser für JavaScript. Vor Version 1.1.2 überprüft der Interpreter, ob ein Schlüssel bereits in einem vom Parser erstellten Container mit `if (object[key])` anstelle von `if (key in object)` existiert. Wenn der vorherige Wert eine falsche Primitive ist – `false`, `0`, `0n`, `0.0`, `-0` oder `""` –, wird die Verzweigung für doppelte Schlüssel übersprungen und der Wert stillschweigend von einer späteren Unter-Tabelle, einer Unter-Tabelle mit gepunktetem Schlüssel (dotted-key) oder einem Array von Tabellen überschrieben, die denselben Namen teilen. Gemäß dem TOML 1.0.0-Spezifikation („Das mehrfache Definieren eines Schlüssels ist ungültig“; „Sie können keinen Schlüssel oder keine Tabelle öfter als einmal definieren“) sollte dies ein Parse-Fehler sein. Das Ergebnis ist eine strukturelle Typverwechslung (structural type confusion) von vom Angreifer benannten Schlüsseln im Wert, der von `load()` zurückgegeben wird. Ein boolescher Wert `false` (oder numerisch `0`) wird zu einem wahren Objekt (truthy object). Host-Anwendungen, die Verhalten an Bedingungen wie `if (config.flag)`, `if (!user.banned)`, `if (config.allowDelete)` oder `if (config.publicMode)` koppeln, werden stillschweigend den „wahren“ Zweig nehmen. Dies unterscheidet sich von GHSA-65fc-cr5f-v7r2 (der Korrektur für Prototype Pollution in 1.0.2). `Object.prototype` wird nicht verschmutzt (gepollutet). Die Schutzmaßnahme mit `Object.create(null)` aus Version 1.0.2 ist intakt; der Fehler liegt hier im Zustandsautomaten für doppelte Schlüssel, nicht bei der Container-Erstellung. Version 1.1.2 patcht den fehlerhaften Vergleich.
VulDB is the best source for vulnerability data and more expert information about this specific topic.