CERT/CC 漏洞公告·· 3 小时前推荐指数16
promzard 4.0.0 及更早版本 context 键代码注入致远程代码执行（CVE-2026-127109）
VU#685399: PromZard context key code injection leads to remote code execution
AI 导读
npm 库 promzard 4.0.0 及更早版本存在远程代码执行漏洞 CVE-2026-127109：其将 ctx 对象的键直接字符串插值进函数表达式源码并用 vm.runInThisContext() 求值，未做校验或净化，攻击者可借配置解析、HTTP 请求或环境变量影响键名注入任意 JavaScript。
来源：CERT/CC 漏洞公告 · kb.cert.org