node-forge : altération de propriétés héritées via le client HTTP

Veille sécuritéFrontend

P4Moyenne

Dans node-forge avant 1.4.1, le client HTTP stockait les noms et chemins de cookies dans des objets JavaScript ordinaires, ce qui pouvait permettre à un serveur malveillant de modifier des propriétés héritées comme `Object.prototype`. Les applications qui utilisent `forge.http` directement ou via `forge.xhr` sont concernées ; mettre à niveau vers 1.4.1 ou une version ultérieure.

IdentifiantCVE-2026-118777

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.4.1

Source : NVD — CVE-2026-118777

Analyse technique

Un cookie nommé `__proto__` pouvait faire écrire son chemin contrôlé par l’attaquant dans `Object.prototype` ; des noms hérités tels que `constructor` pouvaient aussi modifier `Object`. Une valeur de cookie vide pouvait supprimer une propriété héritée.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-29, dans la période retenue ; la date de mise à jour ultérieure n’est pas retenue comme événement.

ImpactAltération de propriétés globales JavaScript, susceptible d’affecter le comportement de l’application.

Versions affectéesnode-forge avant 1.4.1

Version corrigée1.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

Publication2026-10-29T19:17:20.283Z

Mise à jour2026-10-30T17:17:16.110Z

Action recommandée

Mettre à niveau node-forge vers la version 1.4.1 ou ultérieure ; les applications n’utilisant pas forge.http ne sont pas concernées.

Sources

NVD — CVE-2026-118777

Priorisation DFS : P4 · 1 source(s).