PT-2026-41696 · Kaspernj+1 · Form-Data-Objectizer

0Xbassia · Publicado 2026-05-18 · Atualizado 2026-06-02 · CVE-2026-46510

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas form-data-objectizer versões anteriores a 1.0.1

Descrição O software não filtra proto, constructor ou prototype ao converter FormData em objetos usando chaves de formulário com notação de colchetes. Um invasor pode enviar um único campo de formulário HTTP com um nome começando com proto [...] para mutar o Object.prototype, resultando em poluição de protótipo (prototype pollution) em todo o processo Node.js. Isso ocorre dentro das funções treatInitial() e treatSecond() no arquivo index.cjs. Este problema pode ser explorado para burlar verificações de segurança, injetar valores de configuração, interromper a renderização de templates ou causar a negação de serviço ao travar o processo do worker.

Recomendações Atualize para a versão 1.0.1.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-46510

GHSA-M2HG-WJQ3-28WQ

Produtos afetados

Form-Data-Objectizer

Referências · 8

• 🔥 https://github.com/kaspernj/form-data-objectizer/security/advisories/GHSA-m2hg-wjq3-28wq · Exploit
• https://github.com/kaspernj/form-data-objectizer · Nota
• https://t.me/cveNotify/165578 · Publicação no Telegram
• https://github.com/kaspernj/form-data-objectizer/commit/7c54b99408e6e9cd6533b7245bf197dadc2a2dbc · Nota
• https://osv.dev/vulnerability/GHSA-m2hg-wjq3-28wq · Aviso do Fabricante
• https://t.me/CVEtracker/55265 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1tgqoye/resumen_diario_de_vulnerabilidades_18052026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-46510 · Nota de Segurança