FICHE CVE

CVE-2026-46681

Publiée le 2026-07-21 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications utilisant la bibliothèque JavaScript `@nevware21/ts-utils` avant la version 0.14.0 sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant non authentifié disposant d'un accès réseau peut envoyer des données spécialement conçues pour écraser les propriétés d'objets globaux, ce qui pourrait provoquer le plantage de l'application ou modifier sa logique de fonctionnement. Cette faille est relativement simple à exploiter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.

CVSS 4.07.2 ÉLEVÉE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-07-21

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitNon signalée

RÉFÉRENCES

Description officielle du NVD (en anglais)

@nevware21/ts-utils is a comprehensive TypeScript/JavaScript utility library. Prior to version 0.14.0, the _copyProps function in lib/src/object/copy.ts uses for...in to iterate over source object properties without an Object.hasOwnProperty check, and does not filter dangerous keys (__proto__, constructor, prototype). This allows an attacker to pollute the prototype chain of all objects in the application. Version 0.14.0 patches the issue.