CVE-2026-54335
Publiée le 2026-07-17 · Dernière modification le 2026-10-24
Les applications conçues avec Feathersjs version 5.0.44 et antérieures sont vulnérables à la pollution de prototype via l'utilitaire `@feathersjs/commons`. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une charge utile JSON spécialement conçue pour modifier le comportement de tous les objets simples dans le processus Node.js, bien que l'exécution réussie de cette opération soit difficile. Cela entraîne généralement une perte d'intégrité limitée, comme l'altération de la logique de l'application ou le contournement de certains contrôles, plutôt qu'une exécution directe de code à distance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Feathersjs is a framework for creating web APIs and real-time applications with TypeScript or JavaScript. In 5.0.44 and earlier, the _.merge(target, source) utility exported by @feathersjs/commons recursively merges source into target by iterating Object.keys(source). When source was produced by JSON.parse and contains a __proto__, constructor, or prototype key, that key is returned as an own-enumerable property; the recursive merge then resolves target['__proto__'] to Object.prototype and writes attacker-supplied properties onto it, polluting the prototype for all plain objects in the process for the lifetime of the Node process. This issue is fixed in version 5.0.45.