CVE-2026-16266
Publiée le 2026-07-21 · Dernière modification le 2026-07-23
Les applications utilisant le package `mongo-object` (versions antérieures à 3.0.3) sont sensibles à la pollution de prototype via la fonction `expandKey()`. Un attaquant non authentifié disposant d'un accès réseau peut envoyer un chemin de propriété spécialement conçu pour modifier la chaîne de prototypes JavaScript, ce qui pourrait altérer la logique de l'application ou provoquer un déni de service. Comme l'attaque ne nécessite aucune interaction de l'utilisateur et est relativement simple à exécuter, la mise à jour du package constitue la principale mesure de défense.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Versions of the package mongo-object before 3.0.3 are vulnerable to Prototype Pollution via the expandKey() function in util.js. An attacker can modify the JavaScript prototype chain by supplying a crafted property path containing special keys such as __proto__.