CVE-2026-76833
Publiée le 2026-08-20 · Dernière modification le 2026-10-18
Les applications utilisant le package npm `@cgauge/yaml` sont vulnérables à l'exécution de code à distance si elles analysent des fichiers YAML provenant de sources non fiables. Un attaquant peut prendre le contrôle total de l'environnement d'exécution Node.js — y compris la capacité de lire des fichiers et d'exécuter des commandes système — simplement en fournissant un document YAML spécialement conçu. Cette exploitation ne nécessite ni authentification ni privilèges particuliers, bien qu'elle dépende du fait qu'un utilisateur ou qu'un système déclenche l'analyse du fichier malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
@cgauge/yaml npm package contains an arbitrary code execution vulnerability that allows attackers to execute arbitrary JavaScript by embedding a custom !js YAML tag whose construct callback unconditionally calls eval() on attacker-supplied string values during document parsing. Any application parsing untrusted YAML input with this library exposes full Node.js runtime authority, including environment variable access, filesystem read/write, network access, and subprocess execution, with no safe-mode alternative or opt-out mechanism available.