CVE-2026-63376
Publiée le 2026-09-03 · Dernière modification le 2026-09-05
Les applications utilisant la bibliothèque `toml-node` (versions antérieures à 4.1.2) pour analyser des fichiers de configuration sont concernées. Un attaquant peut envoyer un fichier TOML spécialement conçu via le réseau pour injecter des propriétés dans le prototype de l'objet global JavaScript, ce qui peut potentiellement entraîner un plantage du système ou l'exécution de code à distance. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
toml-node is a TOML parser for Node.js and the browser. Prior to 4.1.2, toml.parse() in lib/compiler.js can be tricked by a table path such as a.b.y.__proto__.__proto__, allowing traversal from a scalar value into Number.prototype and Object.prototype. The currentPath tracking value uses both arrays and strings, so valueAssignments records a comma-joined path such as a,b.y while deepRef checks the dot-joined path a.b.y, allowing the duplicate-key guard to miss and attacker-controlled keys to be written to Object.prototype. A table-array prefix-clearing path in addTableArray can also erase guard state before the same __proto__ traversal. Injected properties become visible throughout the Node.js process and can cause denial of service, logic or authorization bypass, or code execution when an application contains a suitable gadget. This issue is fixed in version 4.1.2.