FICHE CVE

CVE-2026-57439

Publiée le 2026-07-08 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les instances auto-hébergées de CyberChef antérieures à la version 11.2.0 sont sensibles à une faille de pollution de prototype lors de l'analyse de données CSV dans l'opération Series Chart. Un attaquant peut exploiter cette vulnérabilité pour injecter du JavaScript malveillant dans le rendu HTML de l'application, bien que cela nécessite qu'un utilisateur soit incité à charger une entrée spécialement conçue. L'attaque est menée localement via l'interface web et ne nécessite aucune authentification.

CVSS 3.15.0 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79 Pollution de prototype · CWE-1321

Publiée2026-07-08

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

CyberChef is a web app for encryption, encoding, compression, and data analysis. Prior to 11.2.0, the Series Chart operation accepts __proto__ as a key while parsing user-supplied CSV, allowing prototype pollution that can be chained with operations such as Parse UDP to inject malicious JavaScript into HTML output. This issue is fixed in version 11.2.0.