CVE-2026-33994

Locutus porta le stdlib di altri linguaggi di programmazione in JavaScript a scopo didattico. A partire dalla versione 2.0.39 e fino alla versione 3.0.24, esiste una vulnerabilità di contaminazione del prototype in `parse_str` del pacchetto npm locutus. Un attaccante può contaminare `Object.prototype` sovrascrivendo `RegExp.prototype.test` e poi passando una query string manipolata a `parse_str`, aggirando così la protezione contro la contaminazione del prototype. Questa vulnerabilità deriva da una patch incompleta per CVE-2026-25521. La correzione di CVE-2026-25521 ha sostituito la protezione basata su `String.prototype.includes()` con una basata su `RegExp.prototype.test()`. Tuttavia, `RegExp.prototype.test` è anch'esso un metodo del prototype modificabile che può essere sovrascritto, rendendo la nuova protezione aggirabile nello stesso modo di quella originale — scambiando un metodo incorporato hijackabile con un altro. La versione 3.0.25 contiene una correzione aggiornata.