FICHE CVE

CVE-2020-1914

Publiée le 2020-10-08 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications utilisant le moteur JavaScript Facebook Hermes sont concernées si elles permettent l'évaluation de JavaScript non approuvé. Un attaquant peut fournir un script spécialement conçu pour lire la mémoire restreinte ou potentiellement exécuter du code arbitraire sur le système. Cela peut être effectué à distance, sans authentification ni interaction de l'utilisateur, à condition que l'application soit configurée pour exécuter du code externe.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-670

Publiée2020-10-08

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A logic vulnerability when handling the SaveGeneratorLong instruction in Facebook Hermes prior to commit b2021df620824627f5a8c96615edbd1eb7fdddfc allows attackers to potentially read out of bounds or theoretically execute arbitrary code via crafted JavaScript. Note that this is only exploitable if the application using Hermes permits evaluation of untrusted JavaScript. Hence, most React Native applications are not affected.