FICHE CVE

CVE-2026-45325

Publiée le 2026-07-16 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications web Gestor de Oferta sont affectées par une faille de pollution de prototype dans leur bibliothèque utilitaire. Un attaquant distant non authentifié peut envoyer une requête réseau spécialement conçue pour modifier la logique interne de l'application, ce qui pourrait altérer des données ou provoquer un déni de service. Cette exploitation est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'accès préalable à un compte.

CVSS 3.18.2 ÉLEVÉE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-07-16

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Gestor de Oferta is a web application for managing mobility service offerings. Prior to 20260509.0340.15, @tmlmobilidade/utils has a prototype pollution vulnerability in setValueAtPath() in packages/utils/src/generic/value-at-path.ts because unsafe path segments are not blocked. This issue is fixed in version 20260509.0340.15.