CVE-2026-42077
Publiée le 2026-05-04 · Dernière modification le 2026-10-26
Les versions du moteur Evolver AI antérieures à la 1.69.3 sont vulnérables à la pollution de prototype via le module mailbox store. Un attaquant disposant de privilèges administratifs de haut niveau et d'un accès local peut injecter des propriétés malveillantes dans des objets JavaScript afin de perturber le comportement du système ou de provoquer un déni de service. L'exploitation est difficile, car elle nécessite à la fois un accès authentifié et un ensemble de conditions spécifiques pour déclencher la faille avec succès.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Evolver is a GEP-powered self-evolving engine for AI agents. Prior to version 1.69.3, a prototype pollution vulnerability in the mailbox store module allows attackers to modify the behavior of all JavaScript objects by injecting malicious properties into Object.prototype. The vulnerability exists in the _applyUpdate() and _updateRecord() functions which use Object.assign() to merge user-controlled data without filtering dangerous keys like __proto__, constructor, or prototype. This issue has been patched in version 1.69.3.