CVE-2026-107701
Publiée le 2026-10-08 · Dernière modification le 2026-10-14
Les applications utilisant la bibliothèque JavaScript `dot-access` (version 1.0.0 et versions antérieures) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant non authentifié disposant d'un accès réseau peut envoyer un chemin spécialement conçu à la fonction `set()` pour injecter des propriétés dans tous les objets de l'application, ce qui pourrait permettre de contourner des contrôles d'autorisation ou de provoquer le plantage du serveur. Cet exploit est relativement facile à exécuter car il ne nécessite aucune interaction de l'utilisateur ni de privilèges préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
dot-access through 1.0.0 contains a prototype pollution vulnerability that allows attackers to modify Object.prototype by supplying a crafted dotted path to set(). Attackers controlling the path, such as through user-supplied field names, can use __proto__ segments to inject properties into all objects, altering authorization flags and option defaults or crashing the process.