GHSA-hmx5-qpq5-p643
- Sévérité
- Critique
- CVSS
- Pas de vecteur CVSS v3
- CISA KEV
- Absente du catalogue KEV en cache
- EPSS
- Aucun score EPSS en cache
Versions touchées et corrigées
- Introduite en 6.5.1 · corrigée en 12.1.2
La dernière version publiée n'est pas dans une plage touchée, ou OSV n'indique aucun correctif.
Le texte simplifié n'apparaît que s'il est déjà en cache. Cette page ne le génère pas.
Prototype pollution in swiper
### Summary A prototype pollution vulnerability exists in the the npm package swiper (>=6.5.1, < 12.1.2). Despite a previous fix that attempted to mitigate prototype pollution by checking whether user input contained a forbidden key, it is still possible to pollute `Object.prototype` via a crafted input using Array.prototype. The exploit works across Windows and Linux and on Node and Bun runtimes. This issue is fixed in version 12.1.2 ### Details The vulnerability resides in line 94 of shared/utils.mjs where indexOf() function is used to check whether user provided input contain forbidden strings. ### PoC #### Steps to reproduce 1. Install latest version of swiper using npm install 2. Ru…
Alias : CVE-2026-27212
Alerte sur OSV.dev · publiée le 2026-02-19 · modifiée le 2026-02-23
- https://github.com/nolimits4web/swiper/security/advisories/GHSA-hmx5-qpq5-p643
- https://nvd.nist.gov/vuln/detail/CVE-2026-27212
- https://github.com/nolimits4web/swiper/commit/d3e663322a13043ca63aaba235d8cf3900e0c8cf
- https://github.com/nolimits4web/swiper
- https://github.com/nolimits4web/swiper/releases/tag/v12.1.2