CVE-2026-106550 in Node-convict
요약
\~에 의해 VulDB • 2026. 10. 06.
Mozilla의 Node-convict(버전 6.2.2 및 이후 버전)은 config()에서의 불완전한 prototype-pollution 보호로 인해 Denial of Service 취약점에 노출되어 있습니다. 구성 키를 제어하는 공격자는 constructor.<key>에 임의 속성을 작성할 수 있으며, 이는 walk()가 전역 Object 함수로 해결됩니다. 이를 통해 Object.assign과 같은 핵심 JavaScript 메서드를 덮어쓸 수 있어 지속적인 프로세스 전체 오류가 발생하며 재시작이 필요합니다. 이 문제는 constructor.prototype.* 및 __proto__.*만 차단하는 기존 필터를 우회합니다. 악용을 위해서는 공격자가 제어하는 키를 config.set()으로 전달하는 엔드포인트가 필요합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.