FICHE CVE

CVE-2026-15538

Publiée le 2026-07-13 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications utilisant la bibliothèque PrimeReact (jusqu'à la version 10.9.8) sont susceptibles d'être affectées par une pollution de prototype, permettant à un attaquant de modifier les attributs d'objets pour potentiellement altérer le comportement de l'application. Cela peut être exécuté à distance via le réseau sans interaction de l'utilisateur, bien que cela nécessite que l'attaquant dispose d'un accès authentifié basique au système. L'impact est généralement limité à des modifications mineures dans la manière dont l'application gère les données dans le navigateur.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Injection de code · CWE-94 Pollution de prototype · CWE-1321

Publiée2026-07-13

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A weakness has been identified in primefaces primereact up to 10.9.8. This issue affects the function ObjectUtils.mutateFieldData of the file components/lib/utils/ObjectUtils.js of the component API. This manipulation of the argument Field causes improperly controlled modification of object prototype attributes. The attack is possible to be carried out remotely. Upgrading to version 10.9.9 and 11.0.0 is capable of addressing this issue. Patch name: 61f182e11d9ef52032ff56f420da763a6938236f. It is recommended to upgrade the affected component.