CVE-2026-106550

WysokieCVSS 7.5

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Node-convict Mozilli (wersja 6.2.2 i nowsze) jest podatny na podatność Denial of Service spowodowaną niekompletnymi zabezpieczeniami przed prototype pollution w config.set(). Atakujący kontrolujący klucz konfiguracji może zapisać dowolne właściwości do constructor.<key>, które walk() rozwiązuje do globalnej funkcji Object. Pozwala to nadpisać podstawowe metody JavaScript, takie jak Object.assign, prowadząc do trwałych awarii w całym procesie i wymagając restartu. Problem omija istniejące filtry, które blokują tylko constructor.prototype.* i __proto__.*. Eksploatacja wymaga punktu końcowego, który przekazuje klucze kontrolowane przez atakującego do config.set().

Ocena ryzyka

Ryzyko awarii usługi — atakujący może spowodować trwałe uszkodzenie procesu aplikacji, wymagające restartu, co może prowadzić do niedostępności usługi.

Rekomendacja

Zaktualizuj Node-convict do wersji z poprawką i sprawdź, czy wszystkie punkty końcowe przekazujące klucze konfiguracji do config.set() są odpowiednio zabezpieczone.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

Mozilla's Node-convict (version 6.2.2 and later) is vulnerable to a Denial of Service vulnerability caused by incomplete prototype‑pollution protections in config.set(). An attacker controlling the configuration key can write arbitrary properties to constructor.<key>, which walk() resolves to the global Object function. This allows overwriting core JavaScript methods such as Object.assign, leading to persistent process-wide failures and requiring a restart. The issue bypasses existing filters that only block constructor.prototype.* and __proto__.*. Exploitation requires an endpoint that forwards attacker-controlled keys into config.set().

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS