FICHE CVE

CVE-2026-56763

Publiée le 2026-07-11 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les applications web utilisant le framework Hono (versions antérieures à 4.12.7) avec l'option `dot` activée dans `parseBody` sont concernées. Un attaquant peut envoyer des données de formulaire spécialement conçues pour polluer les prototypes d'objets JavaScript, ce qui pourrait lui permettre de modifier le comportement de l'application. Cela nécessite un accès réseau mais est difficile à exécuter, car cela dépend de l'utilisation par l'application de modèles de fusion non sécurisés spécifiques dans son propre code.

CVSS 4.06.3 MOYENNE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-07-11

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Hono before 4.12.7 allows __proto__ key in parseBody with dot option enabled, permitting specially crafted form field names to create objects with __proto__ properties. When parsed results are merged into regular JavaScript objects using unsafe merge patterns, attackers can exploit this to achieve prototype pollution and modify object behavior.