CVE-2026-73647 in Quasar
Résumé
par VulDB • 14/08/2026
Quasar Framework est un framework permettant de créer des interfaces utilisateur Vue.js hautes performances. Avant la version 2.22.0, l'utilitaire public `extend()` dans `ui/src/utils/extend/extend.js` copiait récursivement les clés d'objet contrôlées par l'attaquant lors des fusions profondes (`deep merges`) effectuées via `extend(true, target, source)`, sans rejeter la propriété propre `__proto__`. La fusion pouvait descendre dans l'objet prototype et écrire des propriétés contrôlées par l'attaquant sur `Object.prototype` au sein du même processus JavaScript. Les applications qui transmettaient des objets partiellement ou entièrement contrôlés par les utilisateurs à `extend()` pouvaient subir un contournement de logique, une injection non sécurisée d'options par défaut, une déni de service (DoS) ou tout autre impact spécifique à l'application lorsque ces propriétés polluées étaient ultérieurement consommées. Ce problème est corrigé dans la version 2.22.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.