CVE-2026-12208
Publiée le 2026-06-15 · Dernière modification le 2026-07-24
Les applications utilisant la bibliothèque `jsonata-js` (version 2.2.0 et versions antérieures) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant distant non authentifié peut envoyer une charge utile JSON spécialement conçue pour modifier les attributs d'un objet, ce qui pourrait altérer la logique de l'application ou provoquer le plantage du service. Comme cela ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers, l'exécution est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A weakness has been identified in jsonata-js jsonata up to 2.2.0. The affected element is the function createFrame of the file src/jsonata.js of the component Function Binding Frame System. This manipulation causes improperly controlled modification of object prototype attributes. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.