CVE-2026-44966
Publiée le 2026-05-26 · Dernière modification le 2026-07-24
Les applications utilisant Velocity.js version 2.1.5 ou antérieure sont sensibles à une faille de pollution de prototype lors du traitement de modèles. Si un attaquant peut fournir son propre modèle à votre serveur, il peut modifier des objets JavaScript centraux pour potentiellement provoquer le plantage du service ou exécuter du code arbitraire. Cela peut être déclenché à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Velocity.js is a JavaScript implementation of the Apache Velocity template engine. In 2.1.5 and earlier, a prototype pollution vulnerability was discovered in velocityjs. This issue occurs during the processing of #set directives in Velocity templates. If an application renders a template controlled by an attacker, it is possible to modify Object.prototype, potentially leading to Denial of Service (DoS) or Remote Code Execution (RCE) depending on the server environment.