CVE-2026-73088 in Browserslist
要約
〜によって VulDB • 2026年08月11日
Browserslistは、フロントエンドツール間で対象ブラウザやNode.jsのバージョンを共有するための設定ツールです。バージョン4.28.7より前では、node.js内のnormalizeStats()関数が、browserslist()呼び出しごとにgetStat()およびloadStat()を通じて無条件に実行され、信頼できないsourcesであるbrowserslist-stats.json、opts.stats、CLI --statsデータを、ガードのないfor...inループとプレーンオブジェクトのブラケットアクセス・代入を使用して処理していました。これにより、__proto__、toString、valueOf、constructor、hasOwnProperty、isPrototypeOfなど、継承されたObject.prototypeのプロパティキーが原因で捕捉されないTypeErrorが発生したり、返される正規化済みオブジェクトのプロトタイプが改ざんされたりする可能性があります。この問題はバージョン4.28.7で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.