CVE-2026-106550 in Node-convict
Sumário
de VulDB • 07/10/2026
O Node-convict da Mozilla (versões 6.2.2 e posteriores) é vulnerável a uma falha de Negação de Serviço (DoS) causada por proteções incompletas contra injeção em protótipos (*prototype pollution*) na função `config.set()`. Um atacante que controle a chave da configuração pode escrever propriedades arbitrárias em `constructor.<key>`, as quais são resolvidas pela função `walk()` para a função global do Object. Isso permite sobrescrever métodos centrais do JavaScript, como o `Object.assign`, levando a falhas persistentes em todo o processo e exigindo uma reinicialização. A vulnerabilidade contorna os filtros existentes que bloqueiam apenas `constructor.prototype.*` e `__proto__.*`. Para explorar essa falha, é necessário um endpoint que encaminhe chaves controladas pelo atacante para a função `config.set()`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.