通过上下文属性名注入 JavaScript
模板加载器将上下文属性名插入 JavaScript 源码，然后在当前 Node.js 上下文中求值。
PromZard 可能执行通过上下文属性名注入的 JavaScript
CERT/CC 披露 promzard 4.0.0 及更早版本存在 CVE-2026-127109。如果调用方允许攻击者控制模板上下文对象的属性名，即使加载可信模板，也可能以 Node.js 进程的权限执行 JavaScript。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 1 个 CVE
- 波及范围
- 使用 promzard 4.0.0 或更早版本，且攻击者能够影响上下文属性名的应用和工具。
- Node.js · npm · 代码注入
- 在野利用
- 未知
- CERT/CC 的披露未报告已确认的在野利用。
发生了什么
PromZard 使用调用方提供的上下文对象计算交互式模板。模板加载器将属性名拼入生成的 JavaScript 作为形参，然后在 Node.js 中对源码求值。如果调用方允许攻击者指定这些属性名，即使使用可信模板也会产生代码注入风险。排查时应逐一核对调用方如何构造对象，以判断攻击者能否控制属性名、触达相关路径。
该事件定为 L3，因为受影响的 npm 包分发广泛，存在上述前提的调用方可能遭遇代码执行。2026 年 11 月 14 日，npm 注册表所列最新发布版本仍是 4.0.0。依赖后续版本前，请查看注册表及上游说明。
马桶里有什么
案发时间线
2026 年 10 月 13 日
CERT/CC 通知 PromZard
CERT/CC 将这一天列为通知日期，并表示未收到维护方声明。
2026 年 11 月 12 日
CERT/CC 发布 VU#685399
公告确认影响范围截至并包含 4.0.0，建议调用方校验上下文属性名。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- CERT/CC 漏洞公告 VU#685399一手来源列明受影响版本、利用前提及建议的缓解措施。
- npm 注册表元数据一手来源写作时最新发布版本为 4.0.0。