CVE-2026-106550
Açıklama
Mozilla'nın Node-convict ürünü (versiyon 6.2.2 ve sonrası), config.set() içerisindeki eksik prototype pollution korumalarından kaynaklanan bir Hizmet Reddi (Denial of Service) zafiyetine sahiptir. Yapılandırma anahtarını kontrol eden bir saldırgan, walk() fonksiyonunun küresel Object fonksiyonuna çözümlediği constructor.<key> kısmına rastgele özellikler yazabilir. Bu durum, Object.assign gibi temel JavaScript metodlarının üzerine yazılmasına izin vererek süreç genelinde kalıcı hatalara yol açar ve yeniden başlatma gerektirir. Sorun, yalnızca constructor.prototype.* ve __proto__.* ifadelerini engelleyen mevcut filtreleri atlatmaktadır. İstismar edilmesi için, saldırgan tarafından kontrol edilen anahtarları config.set() fonksiyonuna ileten bir uç nokta gereklidir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Mozilla Node-convict | 6.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.