CVE-2026-46510
CVE-2026-46510 · Prototype pollution in form-data-objectizer via bracket-notation form keys
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
form-data-objectizer converts FormData to object. Prior to 1.0.1, form-data-objectizer walks bracket-notation form keys (e.g. name[sub]) into nested objects without filtering __proto__, constructor, or prototype. A single HTTP form field whose name starts with __proto__[...] causes the library to mutate Object.prototype, which is a prototype pollution primitive of the entire Node.js process. This vulnerability is fixed in 1.0.1.
CVSS 8.2 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
form-data-objectizer
- Versions du logiciel
- < 1.0.1: Concernée
Aucun correctif publié
form-data-objectizer npm
- Plages de versions concernées
- SEMVER: < 1.0.1
Mettez à jour vers 1.0.1