CVE-2026-111172
Publiée le 2026-10-15 · Dernière modification le 2026-10-16
Les versions 6.7.5 à 7.0.1 de @casl/ability sont concernées. Cette bibliothèque est utilisée dans les applications Node.js pour gérer les permissions et les règles de contrôle d'accès. La faille se situe dans la fonction `rulesToFields()`, où des clés pointées spécifiquement conçues permettent à un attaquant d'écraser des propriétés héritées d'objets JavaScript, une technique connue sous le nom de pollution de prototype (prototype pollution).
Un attaquant disposant d'un accès authentifié de bas niveau peut utiliser cette faille pour modifier des fonctions intégrées partagées dans l'ensemble du processus Node.js. Cela impacte principalement la disponibilité en provoquant le plantage de l'application ou un comportement imprévisible, entraînant ainsi un déni de service. L'exploitation est relativement difficile, car elle nécessite un accès réseau spécifique et la possibilité de fournir des entrées contrôlées aux conditions de règles.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@casl/ability 6.7.5 before 7.0.2 contains a prototype pollution vulnerability in rulesToFields() that allows attackers to modify inherited builtins via dotted condition keys. Attackers controlling rule conditions can supply keys like 'toString.call' to alter shared builtin functions process-wide, causing denial of service for the Node.js process.