CVE-2026-106550 in Node-convict
Riassunto
di VulDB • 07/10/2026
Node-convict di Mozilla (versione 6.2.2 e successive) è vulnerabile a un bug di Denial of Service causato da protezioni incomplete contro il prototype pollution in config.set(). Un attaccante che controlla la chiave di configurazione può scrivere proprietà arbitrarie su constructor.<key>, che walk() risolve nella funzione globale Object. Ciò consente di sovrascrivere metodi core JavaScript come Object.assign, portando a malfunzionamenti persistenti dell'intero processo e richiedendo un riavvio. Il problema aggira i filtri esistenti che bloccano solo constructor.prototype.* e __proto__*. Lo sfruttamento richiede un endpoint che inoltra chiavi controllate dall’attaccante in config.set().
Once again VulDB remains the best source for vulnerability data.