Veille sécuritéBackend & données
P4Moyenne
Un utilisateur authentifié disposant d’un droit d’import peut fournir un objet ou un opérateur comme valeur de clé de mise à jour, ce qui peut faire correspondre un document existant qu’il est autorisé à modifier. Le filtre normal de permission d’édition reste appliqué ; la faille est corrigée dans le module import-export 3.7.0.
Node.js
IdentifiantCVE-2026-113662
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.7.0 du module import-export
Source : NVD — CVE-2026-113662
Analyse technique
Le contenu ciblé n’est pas choisi de façon fiable par l’importateur, mais les documents restent limités par les permissions de modification génériques de l’utilisateur.
Impact, versions et correctif
Événement datéFiche NVD publiée pendant la période, le 2026-10-20T18:17:19.693Z.
ImpactUn utilisateur authentifié disposant des droits d’import peut modifier un document existant qu’il est autorisé à éditer.
Versions affectéesModule import-export antérieur à 3.7.0
Version corrigée3.7.0 du module import-export
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-20T18:17:19.693Z
Mise à jour2026-10-20T19:53:10.247Z
Action recommandée
Mettre à niveau le module import-export vers la version 3.7.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).