CVE-2026-107700 · CVSS 9.8 · dot-access 0.0.3 through 1.0.0 contains a code injection vulnerability that allows remote attackers to execute JavaScript by supplying …

NVD (CVSS crítico) · 8 oct, 21:17

La librería npm dot-access versiones 0.0.3 a 1.0.0 contiene una vulnerabilidad de inyección de código que permite a atacantes remotos ejecutar JavaScript y comandos del sistema operativo. El defecto está en la función get(), donde la ruta se concatena en un nuevo cuerpo Function sin validación, permitiendo acceso a constructor.constructor para cargar child_process.