CVE-2026-16151
Publiée le 2026-07-18 · Dernière modification le 2026-10-24
Les applications utilisant la version 0.5.29 du client `carto-api-client` de CartoDB sont sensibles à une faille de pollution de prototype via la fonction `addFilter`. Un attaquant authentifié disposant d'un accès réseau peut manipuler à distance les attributs d'un objet afin de potentiellement modifier le comportement de l'application. Cette exploitation est relativement simple à exécuter car elle ne nécessite aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability has been found in CartoDB carto-api-client 0.5.29. This impacts the function addFilter of the file src/filters.ts. Such manipulation of the argument column leads to improperly controlled modification of object prototype attributes. The attack can be executed remotely. The project was informed of the problem early through an issue report but has not responded yet.