CVE-2026-85063 in node-csv
要約
〜によって VulDB • 2026年09月04日
node-csvは、大規模なデータセットに対してテストされたシンプルAPIを備えたフル機能のCSVパーサーです。バージョン7.0.2より前では、columnsおよびgroup_columns_by_nameオプションが有効になっている場合、csv-parse（packages/csv-parse/lib/api/index.js内）は重複する__proto__ヘッダーを既存のプロパティとして扱い、攻撃者が制御できる配列をobj['__proto__']を通じて割り当て、解析されたレコードオブジェクトのプロトタイプを書き換えます。その結果、悪意のあるCSVヘッダーによって返されるレコードに継承された配列値が注入され、JSONシリアライズ時にこれらの継承値が隠蔽されるとともに、レコードを処理するアプリケーションにおけるプロパティ列挙や型/形状チェックに影響を与えます。この問題はバージョン7.0.2で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.