FICHE CVE

CVE-2026-32304

Publiée le 2026-03-13 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Locutus (versions antérieures à 3.0.14) est affecté car son utilitaire `create_function` ne nettoie pas les entrées avant de les transmettre au constructeur Function de JavaScript. Un attaquant peut utiliser cette faille pour exécuter du code arbitraire sur le système exécutant le logiciel. L'exploitation est simple car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée à distance via le réseau.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Injection de code · CWE-94 CWE-88

Publiée2026-03-13

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Locutus brings stdlibs of other programming languages to JavaScript for educational purposes. Prior to 3.0.14, the create_function(args, code) function passes both parameters directly to the Function constructor without any sanitization, allowing arbitrary code execution. This is distinct from CVE-2026-29091 which was call_user_func_array using eval() in v2.x. This finding affects create_function using new Function() in v3.x. This vulnerability is fixed in 3.0.14.