Quiz sécurité du jour #9

Question du 2026-11-09. Lisez le code et choisissez la faille de sécurité la plus grave.

Cette fonction fusionne les paramètres utilisateur avec les valeurs par défaut. body est le JSON de la requête. Quelle est la vulnérabilité la plus grave ?

1function merge(target, source) {
2  for (const key in source) {
3    if (typeof source[key] === 'object' && source[key] !== null) {
4      target[key] = merge(target[key] ?? {}, source[key]);
5    } else {
6      target[key] = source[key];
7    }
8  }
9  return target;
10}
11 
12const settings = merge({}, req.body);

1. AUne récursion trop profonde provoque un débordement de pile
2. BLa clé __proto__ permet de modifier les propriétés par défaut de tous les objets (pollution de prototype)
3. CLes tableaux deviennent des objets
4. Dfor...in ne garantit pas l’ordre