Mozilla's Node-convict (version 6.2.2 and later) is vulnerable to a Denial of Service vulnerability caused by incomplete prototype‑pollution protections in config.set(). An attacker controlling the configuration key can write arbitrary properties to constructor.<key>, which walk() resolves to the global Object function. This allows overwriting core JavaScript methods such as Object.assign, leading to persistent process-wide failures and requiring a restart.
The issue bypasses existing filters that only block constructor.prototype.* and __proto__.*. Exploitation requires an endpoint that forwards attacker-controlled keys into config.set().
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
CWE-400: Uncontrolled Resource Consumption (‘Denial of Service’)
CWE-1321: Improperly Controlled Modification of Object Prototype Attributes (‘Prototype Pollution’)
CWE-915
CWE-915: Improperly Controlled Modification of Dynamically-Determined Object Attributes
CWE-1321
Prototype Pollution (Загрязнение прототипа)
CWE-400
Uncontrolled Resource Consumption (Неконтролируемое потребление ресурсов)
Уязвимые продукты
mozilla:node-convict