CVE-2026-45302
Publiée le 2026-06-01 · Dernière modification le 2026-07-22
Les applications utilisant le module Node.js `parse-nested-form-data` sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant non authentifié peut envoyer une requête de formulaire spécialement conçue via le réseau pour injecter des propriétés dans chaque objet simple du processus en cours d'exécution, ce qui pourrait altérer la logique de l'application ou provoquer un plantage. Cette exploitation est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable au système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
parse-nested-form-data is a tiny node module for parsing FormData by name into objects and arrays. Prior to version 1.0.1, parseFormData() walks bracket and dot-notation FormData field names into nested objects without filtering reserved property keys. A single FormData field whose name begins with __proto__, or contains .__proto__. mid-path, causes the parser to traverse onto Object.prototype and assign properties there, polluting the prototype chain of every plain object in the running process. This issue has been patched in version 1.0.1.