CVE-2026-54737
Publiée le 2026-07-31 · Dernière modification le 2026-10-23
Les applications utilisant la bibliothèque `@phun-ky/defaults-deep` (avant la version 2.0.5) sont vulnérables à la pollution de prototype. Un attaquant non authentifié peut envoyer une requête réseau spécialement conçue pour modifier le prototype de l'objet de base, ce qui pourrait altérer la logique de l'application ou provoquer un déni de service. Cette exploitation est relativement facile à exécuter car elle ne nécessite aucune authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@phun-ky/defaults-deep is a library like lodash defaultsDeep with array preservation and no lodash dependency. Prior to 2.0.5, defaultsDeep() recursively merges user-supplied objects without filtering proto, constructor, and prototype, allowing properties to be written to Object.prototype. This issue is fixed in version 2.0.5.