CVE-2026-48795
Publiée le 2026-07-15 · Dernière modification le 2026-10-24
Les applications utilisant le framework web AdonisJS (versions 10.1.3 à 10.1.5 et 11.0.3) sont susceptibles d'être victimes d'une pollution de prototype via des données de formulaire multipart spécifiquement conçues. Un attaquant distant non authentifié peut exploiter cette faille pour modifier les propriétés d'objets globaux, ce qui peut entraîner le plantage de services ou une manipulation restreinte de données. Comme l'attaque ne nécessite aucune interaction de l'utilisateur ni d'identifiants, elle peut être exécutée facilement via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AdonisJS is a TypeScript-first web framework. From 10.1.3 until 10.1.5 and 11.0.3, AdonisJS @adonisjs/bodyparser incompletely fixed CVE-2026-25754 because nested multipart field payloads such as user.__proto__.polluted and constructor.prototype still caused lodash _.set() via @poppinss/utils to create plain intermediate objects and pollute Object.prototype. This issue is fixed in versions 10.1.5 and 11.0.3.