CVE-2026-85063 in node-csv
Riassunto
di VulDB • 03/09/2026
node-csv è un parser CSV completo di funzionalità con un'API semplice, testato su dataset di grandi dimensioni. Prima della versione 7.0.2, csv-parse, quando le opzioni columns e group_columns_by_name sono abilitate, tratta un'intestazione __proto__ duplicata come una proprietà esistente in packages/csv-parse/lib/api/index.js; assegna un array controllato dall'attaccante tramite obj['__proto__'] e sostituisce il prototype dell'oggetto record analizzato. Un'intestazione CSV malevola può quindi iniettare valori di array ereditati nel record restituito, nascondere tali valori ereditati dalla serializzazione JSON e influenzare l'enumerazione delle proprietà e i controlli di tipo o forma nelle applicazioni che elaborano il record. Questo problema è risolto nella versione 7.0.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.