CVE-2026-73088
Résumé
par VulDB • 11/08/2026
Browserslist est un outil de configuration permettant de partager les navigateurs cibles et les versions de Node.js entre les outils front-end. Avant la version 4.28.7, la fonction normalizeStats() dans node.js, appelée inconditionnellement via getStat() et loadStat() à chaque invocation de browserslist(), traite des données non fiables issues du fichier browserslist-stats.json, de opts.stats et des arguments CLI --stats en utilisant une boucle for...in sans protection ainsi qu'un accès et une affectation par crochets sur un objet standard. Cela permet aux clés héritées d'Object.prototype, notamment __proto__, toString, valueOf, constructor, hasOwnProperty et isPrototypeOf, de provoquer un TypeError non géré ou de modifier le prototype de l'objet normalisé retourné. Ce problème est corrigé dans la version 4.28.7.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.