fast-toml: Prototype Pollution über __proto__-Schlüssel in geparstem TOML

Zusammenfassung

Der JavaScript-TOML-Parser fast-toml bis Version 0.5.4 ist anfällig für Prototype Pollution. Ein Angreifer, der TOML an parse() übergeben kann, kann mit __proto__-, constructor- oder prototype-Schlüsseln Object.prototype verändern, was alle Objekte im Node.js-Prozess betrifft. Mögliche Folgen sind Denial of Service oder eine Umgehung der Autorisierung. Das Problem ist nur relevant, wenn eine Anwendung mit dieser Bibliothek TOML verarbeitet, das ein Angreifer beeinflussen kann.

Betroffen

• fast-toml 0 bis 0.5.4 (gemäss CVE-Eintrag, CNA VulnCheck)

Behoben in

Unbekannt. Ein Drittanbieter-Aggregator nennt 0.5.5, der Hersteller hat dies jedoch nicht bestätigt.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Kein TOML aus nicht vertrauenswürdigen Quellen parsen, bis die Bibliothek aktualisiert oder ersetzt ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Nicht als aktiv ausgenutzt gelistet.
• Das öffentliche GitHub-Issue #8 beschreibt Reproduktionsschritte. Ein öffentlicher Exploit ist nicht bestätigt.

Unsere Empfehlung

• Lockfiles und Abhängigkeitsbäume (inklusive transitiver Abhängigkeiten) auf fast-toml prüfen.
• Wo vorhanden, auf eine vom Hersteller als behoben bestätigte Version aktualisieren oder durch einen gepflegten TOML-Parser ersetzen.
• Internetseitig erreichbare Anwendungen, die von Benutzern bereitgestelltes TOML akzeptieren, priorisieren.
• Das vorgelagerte Repository auf einen offiziellen Fix überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• fast-toml GitHub repository github.com
• GitHub issue #8: Prototype Pollution via TOML table/key parsing github.com
• GitHub pull request #3 github.com
• VulnCheck advisory www.vulncheck.com
• Tenable CVE-2021-48012 www.tenable.com
• OpenCVE CVE-2021-48012 app.opencve.io
• Strix CVE-2021-48012 www.strix.ai
• HOL Guard CVE-2021-48012 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:23.