FICHE CVE

CVE-2026-78179

Publiée le 2026-08-24 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les applications utilisant le plugin `phaser3-rex-notes` (version 1.80.17 ou antérieure) sont vulnérables à une pollution de prototype via l'interface de données Blackboard (Blackboard Data Interface). Un attaquant distant disposant d'un accès authentifié de bas niveau peut manipuler les attributs d'objets pour potentiellement modifier le comportement de l'application. Cette exploitation est relativement simple à exécuter via un réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Injection de code · CWE-94 Pollution de prototype · CWE-1321

Publiée2026-08-24

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

A vulnerability was identified in rexrainbow phaser3-rex-notes up to 1.80.17. This vulnerability affects the function SetValue of the file plugins/utils/object/SetValue.js of the component BehaviorTree Blackboard Data Interface. Such manipulation of the argument key leads to improperly controlled modification of object prototype attributes. The attack can be launched remotely.