CVE-2026-44483
Publiée le 2026-05-27 · Dernière modification le 2026-10-26
Les applications React et Remix utilisant la bibliothèque RVF (versions 6.0.0 à 6.0.3 et 7.0.0 à 7.0.1) sont concernées. Un attaquant non authentifié peut envoyer via le réseau une soumission de formulaire spécialement conçue pour polluer le prototype de l'objet global du serveur, ce qui peut entraîner une modification du comportement de l'application ou un plantage par déni de service. Cette action est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de configuration particulière.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
RVF (formerly Remix Validated Form) provides easy form validation and state management for React. From 6.0.0 to before 6.0.4 and 7.0.2, setPath in @rvf/set-get (used by @rvf/core to flatten incoming form data into a nested object) does not block the keys __proto__, constructor, or prototype when walking a path. Because field names in submitted form data are passed directly to setPath via preprocessFormData (and through parseFormData / validate), an attacker who can submit a form to a Remix / React Router app using the library can set arbitrary properties on Object.prototype of the running server process. This is a default-reachable prototype pollution primitive: no special configuration is required. Any endpoint that accepts a form via parseFormData or runs a validator created with createValidator is affected. This vulnerability is fixed in 6.0.4 and 7.0.2.