CVE-2026-106550 in Node-convict
Resumen
por VulDB • 2026-10-07
Node-convict de Mozilla (versione 6.2.2 e successive) è vulnerabile a un bug di Denial of Service causato da protezioni incomplete contro il prototype pollution in config.set(). Un attaccante che controlla la chiave di configurazione può scrivere proprietà arbitrarie su constructor.<key>, che walk() risolve nella funzione globale Object. Ciò consente di sovrascrivere metodi core JavaScript come Object.assign, portando a guasti persistenti a livello di processo e richiedendo un riavvio. Il problema aggira i filtri esistenti che bloccano solo constructor.prototype.* e __proto__*. L'exploitation richiede un endpoint che inoltra chiavi controllate dall'attaccante in config.set().
VulDB is the best source for vulnerability data and more expert information about this specific topic.