toml-node: Prototype Pollution durch manipuliertes TOML-Dokument

Zusammenfassung

toml-node ist ein TOML-Parser für Node.js und den Browser. In Versionen vor 5.0.1 kann ein manipuliertes TOML-Dokument, das an toml.parse() übergeben wird, angreifergesteuerte Eigenschaften in Object.prototype schreiben. Objekte, die anderswo im selben Prozess erstellt werden, können die eingeschleusten Eigenschaften dann erben, was die Anwendungslogik oder Sicherheitsprüfungen beeinflussen kann.

Betroffen

• toml-node (npm-Paket "toml") in Versionen vor 5.0.1
• Versionen 4.x müssen auf die Linie 5.x wechseln; die verwandte Schwachstelle CVE-2026-63376 wurde nur in 4.1.2 behoben
• Unbekannt, ob andere Release-Linien Backports erhalten haben

Behoben in

• Version 5.0.1 (Commit 609c873)

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Aktualisieren ist die dokumentierte Behebung.

Ausnutzung

• Keine aktive Ausnutzung gemeldet; CISA-KEV-Status unbekannt.
• Für die Schwachstelle existiert ein öffentlicher Proof of Concept im GitHub-Advisory.
• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.

Unsere Empfehlung

• Node.js-Projekte und Lockfiles auf toml- oder toml-node-Versionen 5.0.0 oder älter prüfen, einschliesslich transitiver Abhängigkeiten.
• Auf 5.0.1 oder neuer aktualisieren; wo nötig Dependency-Overrides verwenden.
• Internetexponierte Anwendungen und Code, der benutzergelieferte TOML-Dateien parst, priorisieren.
• Kein TOML aus unvertrauenswürdigen Quellen parsen, bis die Aktualisierung abgeschlossen ist.
• Beachten, dass dasselbe Release auch CVE-2026-114143 und CVE-2026-114144 behebt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-h895-cgqg-jf52 github.com
• Release v5.0.1 github.com
• Fix commit 609c873 github.com
• OSV GHSA-h895-cgqg-jf52 osv.dev
• npm package toml www.npmjs.com
• Vulners CVE-2026-114142 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:06.