FICHE CVE

CVE-2026-73231

Publiée le 2026-08-11 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications utilisant la bibliothèque Faker (avant la version 10.5.0) dans des environnements Node.js ou via un navigateur sont concernées. Un attaquant disposant d'un accès local et de privilèges d'utilisateur basiques peut exécuter du code JavaScript arbitraire sur le système en fournissant un modèle de données fictives malveillant. Cette exploitation est relativement simple à réaliser et ne nécessite aucune interaction de la part de la victime.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

CWE-95

Publiée2026-08-11

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Faker generates massive amounts of fake data in the browser and Node.js. Prior to 10.5.0, the faker.helpers.fake method in src/modules/helpers/eval.ts allows attacker-controlled fake templates to access the Function constructor through fakeEval.resolveProperty when a function returns another function, enabling arbitrary JavaScript code execution. This issue is fixed in version 10.5.0.