CVE-2026-73088
Publiée le 2026-08-11 · Dernière modification le 2026-08-13
Les applications utilisant l'outil de configuration Browserslist (plus précisément les versions antérieures à 4.28.7) sont vulnérables à une faille de pollution de prototype. Un attaquant non authentifié peut envoyer, via le réseau, un fichier de statistiques ou un argument de ligne de commande spécialement conçu pour faire planter l'application ou modifier les propriétés d'un objet. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'authentification préalable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Browserslist is a configuration tool for sharing target browsers and Node.js versions between front-end tools. Prior to 4.28.7, normalizeStats() in node.js, reached unconditionally through getStat() and loadStat() on every browserslist() call, processes untrusted browserslist-stats.json, opts.stats, and CLI --stats data with an unguarded for...in loop and plain-object bracket access and assignment, allowing inherited Object.prototype keys including __proto__, toString, valueOf, constructor, hasOwnProperty, and isPrototypeOf to cause an uncaught TypeError or modify the prototype of the returned normalized object. This issue is fixed in version 4.28.7.