deepstream is vulnerable to prototype pollution

NGHIÊM TRỌNG 9.9CVE-2026-49252 · GHSA-9v98-6g37-x9g6 · Công bố 18/06/2026 · cập nhật 26/10/2026

Tóm tắt nhanh

CVE-2026-49252 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.9) ảnh hưởng @deepstream/server.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.47%, cao hơn 40.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 10.0.5 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
@deepstream/server npm	`< 10.0.5`	`10.0.5`

Mô tả

Impact

Prototype pollution in deepstream server v <=10.0.4. Potential privilege escalation from any authenticated user with write permission to any record.

Patches

Yes, upgrade to v10.0.5

Workarounds

Filter out all messages containing the path __proto__, constructor, prototype, before they reach the server's message pipeline

Mô tả của NVD

deepstream is a server that allows clients and backend services to sync data, send messages and make rpcs at scale. Versions prior to 10.0.5 are vulnerable to Prototype Pollution. Exploitation can lead to potential privilege escalation from any authenticated user with write permission to any record. This issue has been fixed in version 10.0.5.