FICHE CVE

CVE-2019-19729

Publiée le 2019-12-11 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications Node.js utilisant le package `bson-objectid` (v1.3.0) sont vulnérables à un contournement de la validation des données. Un attaquant distant non authentifié peut envoyer des données spécifiquement conçues pour injecter des propriétés arbitraires dans un objet, contournant ainsi les restrictions de formatage prévues. Cette action est simple à exécuter via le réseau car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2019-12-11

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in the BSON ObjectID (aka bson-objectid) package 1.3.0 for Node.js. ObjectID() allows an attacker to generate a malformed objectid by inserting an additional property to the user-input, because bson-objectid will return early if it detects _bsontype==ObjectID in the user-input object. As a result, objects in arbitrary forms can bypass formatting if they have a valid bsontype.