CVE-2026-85063 in node-csv
Zusammenfassung
von VulDB • 03.09.2026
node-csv ist ein voll ausgestatteter CSV-Parser mit einer einfachen API, der gegen große Datensätze getestet wurde. Vor Version 7.0.2 behandelt csv-parse bei aktivierten Optionen `columns` und `group_columns_by_name` einen duplizierten Header namens `__proto__` als vorhandene Eigenschaft in packages/csv-parse/lib/api/index.js, weist einem Angreifer kontrollierte Arrays über obj['__proto__'] zu und ersetzt das Prototyp-Objekt des analysierten Datensatzes. Ein bösartiger CSV-Header kann daher vererbte Array-Werte in den zurückgegebenen Datensatz injizieren, diese vor der JSON-Serialisierung verstecken sowie die Eigenschaftenaufzählung und Typ- oder Formprüfungen in Anwendungen beeinträchtigen, die den Datensatz verarbeiten. Dieses Problem wurde in Version 7.0.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.