NextGuard
Zurück zum Blog
CVSS 9.5CVE-2026-33864CVE-2026-33863

Convict Prototype Pollution Schwachstellen (CVE-2026-33864)

Kritische Prototype-Pollution-Schwachstellen (CVE-2026-33864, CVE-2026-33863) betreffen das convict npm-Paket. Aktualisieren Sie sofort auf Version 6.2.5, um potenzielle RCE zu verhindern.

Veröffentlicht am

Es wurden zwei kritische Prototype-Pollution-Schwachstellen im npm-Paket `convict` entdeckt, die potenziell zur Ausführung von Remote-Code führen können. Diese Schwachstellen, die als CVE-2026-33864 und CVE-2026-33863 verfolgt werden, betreffen Anwendungen, die `convict` zur Verarbeitung von vom Angreifer kontrollierten Eingaben verwenden. Ein Fix ist in Version 6.2.5 verfügbar.

Mit einem CVSS-Score von 9,5 sind dies kritische Schwachstellen, die sofortige Aufmerksamkeit erfordern.

Was ist Convict?

Convict ist eine Konfigurationsverwaltungsbibliothek für Node.js-Anwendungen. Sie ermöglicht es Entwicklern, ein Schema für die Konfiguration ihrer Anwendung zu definieren, benutzerseitig bereitgestellte Konfigurationsdaten zu validieren und Standardwerte bereitzustellen. Durch die Verwendung von Convict können Anwendungen sicherstellen, dass sie mit gültigen und erwarteten Konfigurationseinstellungen ausgeführt werden. Für weitere Informationen können Sie alle Convict CVEs durchsuchen.

CVE-2026-33864: Prototype Pollution über startsWith()-Bypass

CVSS9.5
Betroffene VersionenBenutzer von `convict` Version 6.2.4 sind betroffen. Jede Anwendung, die `convict.set` verwendet, um vom Angreifer kontrollierte Eingaben zu verarbeiten, ist anfällig.

Kritische Schwachstelle, die sofortige Aufmerksamkeit und Patches erfordert.

Eine Prototype-Pollution-Schwachstelle existiert in `convict` aufgrund unzureichender Eingabevalidierung. Durch Manipulation der Funktion `String.prototype.startsWith` können Angreifer die beabsichtigten Sicherheitsüberprüfungen umgehen und `Object.prototype` verunreinigen.

Wie man CVE-2026-33864 in Convict behebt

Sofort patchen
  1. 1.Aktualisieren Sie das `convict`-Paket auf Version 6.2.5 oder höher.
Convict aktualisieren
npm update convict

NextGuard kennzeichnet CVE-2026-33864 automatisch, wenn Convict in einem Ihrer überwachten Projekte vorkommt - keine manuelle Suche erforderlich.

CVE-2026-33863: Prototype Pollution über load(), loadFile() und Schema-Initialisierung

CVSS9.5
Betroffene VersionenBenutzer von `convict` sind betroffen, wenn sie `config.load()`, `config.loadFile()` verwenden oder wenn sie `convict` mit einem Schema initialisieren, das bösartige Schlüssel enthält. Das Übergeben nicht vertrauenswürdiger Daten an diese Funktionen macht Anwendungen anfällig.

Kritische Schwachstelle, die sofortige Aufmerksamkeit und Patches erfordert.

Prototype-Pollution-Schwachstellen existieren in `convict` durch die Funktionen `load()` und `loadFile()` sowie während der Schema-Initialisierung. Diese Funktionen führen Konfigurationsdaten rekursiv ohne ordnungsgemäße Validierung zusammen, wodurch Angreifer bösartige Eigenschaften in `Object.prototype` einschleusen können.

Wie man CVE-2026-33863 in Convict behebt

Sofort patchen
  1. 1.Aktualisieren Sie das `convict`-Paket auf Version 6.2.5 oder höher.
Convict aktualisieren
npm update convict

Workaround: Übergeben Sie keine nicht vertrauenswürdigen Daten an load(), loadFile() oder convict().

Bleiben Sie nodejs-Schwachstellen einen Schritt voraus

Erkennen und reagieren Sie proaktiv auf Sicherheitsbedrohungen in Ihren nodejs-Anwendungen. Überwachen Sie Ihre nodejs-Abhängigkeiten auf Echtzeit-Schwachstellenwarnungen.

Pläne vergleichen

Häufig gestellte Fragen

Diese Prototype-Pollution-Schwachstellen in `convict` stellen ein erhebliches Risiko für Node.js-Anwendungen dar. Es ist entscheidend, sofort auf Version 6.2.5 zu aktualisieren und alle nodejs-Schwachstellen anzuzeigen, um die Sicherheit Ihrer Projekte zu gewährleisten.

Verwandte Themen

Prototype PollutionNode.js SicherheitKonfigurationsmanagementRemote Code Execution