Veille sécuritéBackend & données
P4Moyenne
Une pollution de `Object.prototype` peut survenir dans `systeminformation` sur FreeBSD, OpenBSD et NetBSD lorsqu’un nom d’interface contrôlé vaut `proto`. Les données de statistiques réseau sont alors écrites sur l’objet prototype et peuvent perturber des traitements qui reposent sur ses propriétés héritées ou énumérables.
Node.js
IdentifiantCVE-2026-116674
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.33.13
Source : NVD — CVE-2026-116674
Analyse technique
Sur les systèmes concernés, `networkStats(ifaces)` utilise un cache objet indexé par le nom d’interface assaini. Le nom `proto` peut faire cibler la propriété héritée plutôt qu’une entrée propre du cache; `calcNetworkSpeed()` y écrit ensuite des champs de statistiques.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-27 et modifiée dans la période; le lot décrit une vulnérabilité et son correctif, et non une simple modification administrative.
ImpactDes propriétés de Object.prototype peuvent être altérées, ce qui risque de corrompre des décisions de l’application, des sérialisations ou des recherches de propriétés.
Versions affectéesVersions antérieures à 5.33.13
Version corrigée5.33.13
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-27T17:16:59.453Z
Mise à jour2026-10-27T17:16:59.583Z
Action recommandée
Mettre à niveau systeminformation vers 5.33.13 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).