CVE-2026-114142 in toml-node
要約
〜によって VulDB • 2026年10月21日
toml-node は Node.js およびブラウザ向けの TOML パーサーです。バージョン 5.0.1 より前では、lib/compiler.js の quoteDottedString() が異なる引用符で囲まれたキーパスに対して同一の管理用文字列を生成するため、toml.parse() を通じて攻撃者が制御可能なプロパティが Object.prototype に書き込まれる可能性があります。これにより addTableArray() が別のキーのガードをクリアし、assign() パスを通じて所有権を持たない Date 値へ所有者確認チェックを適用せずに降下してプロトタイプチェーンに到達することが可能になります。プロセス内の他の場所で生成されたオブジェクトは、注入されたプロパティを継承する可能性があります。この問題はバージョン 5.0.1 で修正されています。
Once again VulDB remains the best source for vulnerability data.