CVE-2026-118777
Publiée le 2026-10-29 · Dernière modification le 2026-10-29
Les versions de Forge (node-forge) antérieures à 1.4.1 constituent une implémentation JavaScript de TLS, souvent utilisée pour les communications réseau sécurisées. Lors de l'utilisation des clients `forge.http` ou `forge.xhr`, le logiciel stocke les noms et les chemins des cookies provenant des réponses du serveur dans des objets JavaScript standard. Un serveur malveillant peut envoyer un nom de cookie spécialement conçu, tel que `__proto__`, pour écraser des propriétés du prototype de l'objet JavaScript de base.
Un attaquant peut exploiter cette faille pour modifier ou supprimer des propriétés d'objets globaux, ce qui peut potentiellement provoquer le plantage de l'application ou un comportement imprévisible. Cela impacte l'intégrité et la disponibilité du service, bien que cela n'entraîne pas de fuite de données privées. La réussite de l'attaque nécessite que l'application de la victime effectue une requête réseau vers un serveur malveillant, et la complexité de mise en œuvre est considérée comme élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Forge (also called node-forge) is a native implementation of Transport Layer Security in JavaScript. Prior to 1.4.1, the forge.http client stored cookie names and paths from Set-Cookie response headers in ordinary JavaScript objects. A malicious server could use the cookie name __proto__ so that the attacker-controlled cookie path was written as a property on Object.prototype, or use inherited names such as constructor to modify Object. An empty cookie value could use the removal path to delete an inherited Object.prototype property. Applications using forge.http directly or through forge.xhr are affected; applications that do not use forge.http are unaffected. This issue is fixed in version 1.4.1.