CVE-2026-73647 in Quasar
Resumen
por VulDB • 2026-08-13
Quasar Framework es un framework para construir interfaces de usuario Vue.js de alto rendimiento. Antes de la versión 2.22.0, el método público extend() en ui/src/utils/extend/extend.js copiaba recursivamente las claves de objetos controladas por el atacante durante las fusiones profundas (deep merges) con extend(true, target, source), sin rechazar una propiedad __proto__ propia del objeto. La fusión podía descender al objeto prototipo y escribir propiedades controladas por el atacante en Object.prototype dentro del mismo proceso JavaScript. Las aplicaciones que pasaban objetos controlados o parcialmente controlados por el usuario a la función extend() podrían experimentar unudir de lógica, inyección insegura de opciones predeterminadas, denegación de servicio u otros impactos específicos de la aplicación cuando las propiedades contaminadas eran consumidas posteriormente. Este problema está corregido en la versión 2.22.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.