CVE-2026-24888
Publiée le 2026-01-28 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque Maker.js pour le dessin vectoriel 2D sont concernées. Un attaquant non authentifié peut envoyer des données spécialement conçues via le réseau pour modifier ou accéder aux propriétés internes d'un objet, compromettant potentiellement l'intégrité de la logique de l'application. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'accès préalable, l'exécution est relativement simple si l'application expose la fonction affectée à des entrées externes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Maker.js is a 2D vector line drawing and shape modeling for CNC and laser cutters. In versions up to and including 0.19.1, the `makerjs.extendObject` function copies properties from source objects without proper validation, potentially exposing applications to security risks. The function lacks `hasOwnProperty()` checks and does not filter dangerous keys, allowing inherited properties and potentially malicious properties to be copied to target objects. A patch is available in commit 85e0f12bd868974b891601a141974f929dec36b8, which is expected to be part of version 0.19.2.