CVE-2026-73647
Publiée le 2026-08-13 · Dernière modification le 2026-10-24
Les applications utilisant le framework Quasar (versions antérieures à 2.22.0) qui transmettent des données fournies par l'utilisateur à l'utilitaire `extend()` sont sensibles à la pollution de prototype. Un attaquant distant non authentifié peut injecter des propriétés malveillantes dans l'objet JavaScript de base, ce qui peut potentiellement entraîner des plantages de l'application ou le contournement de certaines logiques. Cette faille est difficile à exploiter car elle nécessite que l'application traite les entrées utilisateur d'une manière spécifique et vulnérable.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Quasar Framework is a framework for building high-performance Vue.js user interfaces. Prior to 2.22.0, the public extend() utility in ui/src/utils/extend/extend.js recursively copied attacker-controlled object keys during extend(true, target, source) deep merges without rejecting an own __proto__ property. The merge could descend into the prototype object and write attacker-controlled properties to Object.prototype in the same JavaScript process. Applications that passed user-controlled or partially user-controlled objects to extend() could experience logic bypass, unsafe default-option injection, denial of service, or other application-specific impact when polluted properties were later consumed. This issue is fixed in version 2.22.0.