CVE-2026-46510
Yüksek
Açıklama
form-data-objectizer, FormData'yı nesneye dönüştürür. 1.0.1 sürümünden önce form-data-objectizer; __proto__, constructor veya prototype ifadelerini filtrelemeden köşeli parantez notasyonlu form anahtarlarını (örneğin name[sub]) iç içe geçmiş nesnelere dönüştürmektedir. Adı __proto__[...] ile başlayan tek bir HTTP form alanı, kütüphanenin Object.prototype yapısını değiştirmesine neden olur ve bu durum tüm Node.js işlemi için bir prototype pollution primitifidir. Bu güvenlik açığı 1.0.1 sürümünde giderilmiştir.
ÖnemYüksek
CVSS8.2
İstismar olasılığı—
ÜrünForm-data-objectizer
Yayın29 May 2026
İlk görülme29 May 2026
Zayıflık türüCWE-1321Prototip kirletme
Nasıl düzeltilir
Güncelleyin
- form-data-objectizer1.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| form-data-objectizernpm | v < 1.0.1 | 1.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.