CVE-2026-73088

Nome do Software Vulnerável e Versões Afetadas Browserslist versões anteriores a 4.28.7

Descrição A função normalizeStats() em node.js, que é chamada via getStat() e loadStat() a cada execução de browserslist(), processa inadequadamente dados do browserslist-stats.json, opts.stats e do parâmetro de CLI --stats. O uso de um loop for...in sem proteção, combinado com acesso e atribuição por colchetes de objetos simples, permite que chaves herdadas do Object.prototype — como proto, toString, valueOf, constructor, hasOwnProperty e isPrototypeOf — causem um TypeError não capturado ou modifiquem o protótipo do objeto normalizado retornado.

Recomendações Atualizar para a versão 4.28.7.