CVE-2026-54756
Publiée le 2026-07-01 · Dernière modification le 2026-10-25
Les applications web utilisant des versions de Jodit Editor antérieures à la 4.12.18 sont susceptibles d'être affectées par une pollution de prototype si elles permettent à des données fournies par l'utilisateur d'influencer la configuration de l'éditeur. Un attaquant peut envoyer une requête réseau spécialement conçue pour injecter des propriétés dans des objets JavaScript de base, ce qui peut entraîner des plantages ou un comportement inattendu de l'application. Cela peut être exécuté à distance sans authentification ni interaction de l'utilisateur, à condition que l'application transmette des options contrôlées par l'utilisateur à la fonction de configuration de l'éditeur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Jodit Editor is a WYSIWYG editor with written in pure TypeScript file and image editing capabilities. In versions prior to 4.12.18, Jodit.configure(options) — and the internal ConfigMerge / ConfigProto helpers — merged user-supplied options into the editor configuration without filtering prototype-mutating keys, potentially causing a Prototype Pollution vulnerability. A payload nested under an existing plain-object option such as controls could reach and mutate Object.prototype. Applications that pass user-controlled or partially user-controlled configuration into Jodit.configure() may be vulnerable. This issue was fixed in version 4.12.18.