TYPE DE FAIBLESSE

Pollution de prototype CWE-1321

621 CVE, des plus récentes aux plus anciennes. Définition MITRE de CWE-1321 (en anglais) →

CVE-2026-42035Les applications utilisant le client HTTP Axios (versions antérieures à 1.15.1 ou 0.31.1) sous Node.js sont susceptibles de permettre à un attaquant d'injecter des en-têtes arbitra… 7.4 ÉLEVÉE

CVE-2026-42033Les applications utilisant Axios (versions antérieures à 1.15.1 ou 0.31.1) sont vulnérables au vol de données et au détournement de requêtes si une autre bibliothèque du même proce… 7.4 ÉLEVÉE

CVE-2026-41238Les applications web utilisant les versions 3.0.1 à 3.3.3 de DOMPurify pour assainir le HTML sont vulnérables aux attaques par cross-site scripting (XSS). Un attaquant peut contour… 6.9 MOYENNE

CVE-2026-6621La bibliothèque JavaScript `extend-deep` (versions jusqu'à 0.1.6) est vulnérable à la pollution de prototype, ce qui permet à un attaquant distant de modifier les propriétés d'obje… 5.5 MOYENNE

CVE-2026-6594Les versions 1.3.0 et antérieures de Brikcss merge sont vulnérables à la pollution de prototype, ce qui permet à un attaquant de modifier les attributs d'objets dans la mémoire de … 6.9 MOYENNE

CVE-2026-34626Les utilisateurs d'Adobe Acrobat Reader sont concernés par une faille de pollution de prototype qui permet à un attaquant de lire des fichiers arbitraires sur le système local. Pou… 6.3 MOYENNE

CVE-2026-34622Les utilisateurs d'Adobe Acrobat Reader sont affectés par une faille qui permet à un attaquant d'exécuter du code arbitraire avec les permissions de l'utilisateur actuel. Pour expl… 8.6 ÉLEVÉE

CVE-2026-34621Les utilisateurs d'Adobe Acrobat Reader sont exposés à un risque d'exécution de code arbitraire en raison d'une faille de pollution de prototype. Un attaquant peut prendre le contr… KEV 8.6 ÉLEVÉE

CVE-2026-40190Les applications Node.js utilisant le SDK JavaScript/TypeScript de LangSmith (avant la version 0.5.18) sont vulnérables à une pollution de prototype via l'API `createAnonymizer()`.… 5.6 MOYENNE

CVE-2026-35209Les applications utilisant la bibliothèque `defu` (avant la version 6.1.5) sont vulnérables si elles transmettent des entrées utilisateur non nettoyées, comme des corps de requête … 7.5 ÉLEVÉE

CVE-2026-2950Les applications utilisant la version 4.17.23 ou antérieure de Lodash sont vulnérables à une faille de pollution de prototype (prototype pollution). Un attaquant distant non authen… 6.5 MOYENNE

CVE-2026-34221Les applications Node.js utilisant des versions de MikroORM antérieures à 6.6.10 ou 7.0.6 sont affectées par une faille de pollution de prototype. Un attaquant non authentifié peut… 8.3 ÉLEVÉE

CVE-2026-33994Les applications utilisant le package npm Locutus (versions 2.0.39 à 3.0.24) sont vulnérables à une pollution de prototype via la fonction `parse_str`. Un attaquant peut envoyer un… 6.3 MOYENNE

CVE-2026-33993Les applications JavaScript utilisant la bibliothèque Locutus pour émuler la fonction `unserialize()` de PHP sont concernées. Un attaquant peut envoyer via le réseau une charge uti… 6.9 MOYENNE

CVE-2026-33916Les applications utilisant Handlebars dans les versions 4.0.0 à 4.7.8 sont vulnérables aux failles de type cross-site scripting (XSS). Un attaquant distant non authentifié peut inj… 4.7 MOYENNE

CVE-2026-33672Les applications JavaScript utilisant la bibliothèque `picomatch` pour faire correspondre des noms de fichiers sont concernées. Un attaquant peut fournir un modèle de recherche spé… 5.3 MOYENNE

CVE-2026-33696Les plateformes d'automatisation de flux de travail n8n sont concernées si elles utilisent des versions antérieures à 2.14.1, 2.13.3 ou 1.123.27. Un attaquant disposant d'un compte… 9.4 CRITIQUE

CVE-2026-33228Les applications utilisant la bibliothèque `flatted` pour analyser le JSON sont affectées par une faille de pollution de prototype. Un attaquant non authentifié peut envoyer une ch… 8.9 ÉLEVÉE

CVE-2026-32701Les applications web conçues avec le framework JavaScript Qwik (versions antérieures à 1.19.2) sont affectées par une faille dans la manière dont elles analysent les données de for… 7.5 ÉLEVÉE

CVE-2026-32886Les instances de Parse Server exécutant des versions antérieures à 9.6.0-alpha.24 ou 8.6.47 sont vulnérables à une attaque par déni de service. Un attaquant distant non authentifié… 8.2 ÉLEVÉE

CVE-2026-32878Les installations de Parse Server antérieures aux versions 9.6.0-alpha.20 et 8.6.44 sont sensibles à une faille de pollution de prototype dans la manière dont le logiciel copie les… 5.3 MOYENNE

CVE-2026-31865Les applications conçues avec le framework TypeScript Elysia avant la version 1.4.27 sont sensibles à la pollution de prototype via les cookies. Un attaquant distant non authentifi… 6.5 MOYENNE

CVE-2026-27524Les versions d'OpenClaw antérieures à la 2026.2.21 sont vulnérables à la pollution de prototype via le point de terminaison `/debug set`. Un attaquant disposant d'une authentificat… 2.3 FAIBLE

CVE-2026-4239Les sites web utilisant le modèle Lagom WHMCS (version 2.3.7 et versions antérieures) sont affectés par une faille de pollution de prototype dans le composant Datatables. Un attaqu… 2.0 FAIBLE

CVE-2026-32621Les passerelles Apollo Federation sont affectées par une faille de pollution de prototype qui survient lors de l'exécution du plan de requête. Un attaquant authentifié ayant un acc… 9.9 CRITIQUE

CVE-2026-30226Les applications utilisant la bibliothèque Svelte `devalue` (v5.6.3 et versions antérieures) pour la sérialisation des données sont affectées par une faille de pollution de prototy… 6.3 MOYENNE

CVE-2026-30939Les installations de Parse Server sont vulnérables à une attaque par déni de service capable de faire planter le processus du serveur. Un attaquant distant non authentifié peut déc… 8.8 ÉLEVÉE

CVE-2026-29063Les applications utilisant la bibliothèque Immutable.js pour les structures de données sont affectées par une faille de pollution de prototype. Un attaquant peut envoyer des entrée… 8.7 ÉLEVÉE

CVE-2026-28794Les applications utilisant le package `@orpc/client` avant la version 1.13.6 sont vulnérables à une pollution de prototype via le désérialiseur JSON. Un attaquant distant non authe… 9.3 CRITIQUE

CVE-2026-30785Les clients RustDesk version 1.4.5 et antérieures sont affectés par un hachage de mot de passe faible et une pollution de prototype. Un utilisateur ayant un accès local au système … 8.2 ÉLEVÉE

CVE-2026-27837Les applications utilisant la bibliothèque JavaScript Dottie (versions 2.0.4 à 2.0.6) sont vulnérables à la pollution de prototype, ce qui permet à un attaquant d'injecter des prop… 6.3 MOYENNE

CVE-2026-2964Les applications utilisant la bibliothèque `web-audio-recorder-js` (versions 0.1 et 0.1.1) sont sensibles à une faille de pollution de prototype. Un attaquant distant disposant d'i… 1.3 FAIBLE

CVE-2026-27212Les applications web utilisant les versions 6.5.1 à 12.1.1 de Swiper sont vulnérables à la pollution de prototype via des entrées malveillantes. Un attaquant peut exploiter cette f… 9.4 CRITIQUE

CVE-2025-70956Les versions de la machine virtuelle TON (TVM) antérieures à la v2025.04 sont affectées par une faille de pollution d'état lors de l'initialisation de machines virtuelles enfants. … 7.5 ÉLEVÉE

CVE-2026-26021Les applications utilisant le package npm `set-in` (versions 2.0.1 à 2.0.4) sont vulnérables à la pollution de prototype (prototype pollution). Un attaquant peut envoyer des donnée… 9.4 CRITIQUE

CVE-2026-25881Les applications utilisant la bibliothèque SandboxJS pour exécuter du JavaScript non approuvé sont concernées. Un attaquant peut contourner le bac à sable (sandbox) pour modifier l… 9.0 CRITIQUE

CVE-2026-25754Les applications conçues avec le framework web AdonisJS sont concernées si elles utilisent l'analyse de données de formulaire multipart (multipart form-data parsing). Un attaquant … 7.2 ÉLEVÉE

CVE-2026-25521Les applications JavaScript utilisant la bibliothèque Locutus (versions 2.0.12 à 2.0.38) sont vulnérables à la pollution de prototype via des entrées spécifiquement conçues. Un att… 9.4 CRITIQUE

CVE-2026-25150Les applications web conçues avec le framework Qwik (plus précisément celles utilisant le middleware @builder.io/qwik-city avant la version 1.19.0) sont concernées. Un attaquant no… 9.3 CRITIQUE

CVE-2026-25142Les applications utilisant la bibliothèque SandboxJS avant la version 0.8.27 sont vulnérables à une évasion de bac à sable (sandbox escape). Un attaquant non authentifié peut envoy… 10.0 CRITIQUE

CVE-2026-25047Les applications utilisant le package npm `deephas` (version 1.0.7) sont vulnérables à la pollution de prototype (prototype pollution), ce qui permet à un attaquant d'injecter des … 9.4 CRITIQUE

CVE-2026-24888Les applications utilisant la bibliothèque Maker.js pour le dessin vectoriel 2D sont concernées. Un attaquant non authentifié peut envoyer des données spécialement conçues via le r… 6.5 MOYENNE

CVE-2026-24766Les installations de NocoDB antérieures à la version 0.301.0 sont concernées. Un utilisateur authentifié disposant des permissions de créateur d'organisation peut déclencher une at… 4.9 MOYENNE

CVE-2025-61140Les applications utilisant la bibliothèque `jsonpath` (version 1.1.1) sont vulnérables à la pollution de prototype via la fonction `value`. Un attaquant distant et non authentifié … 9.8 CRITIQUE

CVE-2026-23736Les applications utilisant la bibliothèque `seroval` (version 1.4.0 ou antérieure) pour la désérialisation JSON sont vulnérables à la pollution de prototype (prototype pollution). … 7.3 ÉLEVÉE

CVE-2025-13465Les applications utilisant les versions 4.0.0 à 4.17.22 de Lodash sont sensibles à la pollution de prototype via les fonctions `_.unset` et `_.omit`. Un attaquant distant non authe… 6.9 MOYENNE

CVE-2026-21854Les installations de Tarkov Data Manager sont affectées par une faille dans le système de connexion qui permet à toute personne disposant d'un accès réseau de contourner l'authenti… 9.8 CRITIQUE

CVE-2024-14020Les serveurs de messagerie Carboneio sont affectés par une faille de pollution de prototype dans le composant Formatter Handler. Un attaquant distant disposant d'un accès à un comp… 2.3 FAIBLE

CVE-2025-13158Les utilisateurs de la bibliothèque `apidoc-core` sont concernés par une faille permettant à des attaquants d'injecter des données malveillantes dans les prototypes d'objets JavaSc… 9.3 CRITIQUE

CVE-2025-68130Les applications utilisant tRPC avec l'adaptateur Next.js App Router (spécifiquement `experimental_caller`) sont concernées. Un attaquant disposant d'un compte utilisateur basique … 8.5 ÉLEVÉE