CVE-2026-6621
Publiée le 2026-04-20 · Dernière modification le 2026-10-26
La bibliothèque JavaScript `extend-deep` (versions jusqu'à 0.1.6) est vulnérable à la pollution de prototype, ce qui permet à un attaquant distant de modifier les propriétés d'objets de base au sein de l'application. En envoyant une requête spécialement conçue, un attaquant peut modifier le comportement du logiciel, bien que l'impact réel soit généralement limité à la logique locale de l'application. Cela peut être déclenché via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was determined in 1024bit extend-deep up to 0.1.6. The impacted element is an unknown function of the file index.js. This manipulation of the argument __proto__ causes improperly controlled modification of object prototype attributes. Remote exploitation of the attack is possible. The exploit has been publicly disclosed and may be utilized. The code repository of the project has not been active for many years.