CVE-2026-27837
Publiée le 2026-02-26 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque JavaScript Dottie (versions 2.0.4 à 2.0.6) sont vulnérables à la pollution de prototype, ce qui permet à un attaquant d'injecter des propriétés dans les prototypes d'objets globaux. Si un utilisateur est incité à déclencher une requête transmettant des données malveillantes à la bibliothèque, l'attaquant pourrait être en mesure de modifier le comportement de l'application ou de divulguer de petites quantités d'informations. Cette attaque est réalisée via le réseau sans nécessiter d'authentification, bien qu'elle requière une certaine forme d'interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Dottie provides nested object access and manipulation in JavaScript. Versions 2.0.4 through 2.0.6 contain an incomplete fix for CVE-2023-26132. The prototype pollution guard introduced in commit `7d3aee1` only validates the first segment of a dot-separated path, allowing an attacker to bypass the protection by placing `__proto__` at any position other than the first. Both `dottie.set()` and `dottie.transform()` are affected. Version 2.0.7 contains an updated fix to address the residual vulnerability.