CVE-2026-73088 in Browserslist
Tóm tắt
Bởi VulDB • 11/08/2026
Browserslist là một công cụ cấu hình để chia sẻ các trình duyệt mục tiêu và phiên bản Node.js giữa các công cụ front-end. Trước phiên bản 4.28.7, hàm `normalizeStats()` trong node.js, được gọi không điều kiện thông qua `getStat()` và `loadStat()` mỗi khi thực hiện lệnh gọi `browserslist()`, xử lý dữ liệu từ tệp `browserslist-stats.json` không đáng tin cậy, thuộc tính `opts.stats` và tham số CLI `--stats` bằng cách sử dụng vòng lặp `for...in` không được bảo vệ cùng với việc truy cập và gán giá trị thông qua dấu ngoặc vuông trên đối tượng thuần (plain-object). Điều này cho phép các khóa kế thừa từ `Object.prototype`, bao gồm `__proto__`, `toString`, `valueOf`, `constructor`, `hasOwnProperty` và `isPrototypeOf`, gây ra lỗi `TypeError` không được bắt hoặc làm thay đổi prototype của đối tượng chuẩn hóa được trả về. Vấn đề này đã được sửa chữa trong phiên bản 4.28.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.