FICHE CVE

CVE-2026-48819

Publiée le 2026-07-17 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les SDK générés par les versions de Hey API antérieures à 0.97.3 sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant distant non authentifié peut envoyer des paramètres de requête spécialement conçus pour écraser des propriétés d'objets héritées, manipulant potentiellement la manière dont le client traite les données. Cette attaque est difficile à exécuter et nécessite une grande complexité pour obtenir un impact significatif.

CVSS 3.14.8 MOYENNE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-07-17

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Hey API is an ecosystem for turning API specifications into production-ready code. Prior to 0.97.3, dist/clients/core/params.ts ships a runtime template copied into generated SDKs as params.gen.ts, and buildClientParams writes unknown slot-prefixed keys such as $body_, $headers_, $path_, and $query_ directly to the corresponding slot, allowing $query___proto__ alongside a legitimate q field to set params.query through params["query"]["__proto__"] = value, call Object.setPrototypeOf(params.query, value), and expose inherited attacker-controlled keys during for..in iteration. This issue is fixed in version 0.97.3.