CVE-2025-69202

إصدارات Axios Cache Interceptor الأقدم من 1.11.1

يقوم Axios Cache Interceptor، وهو معترض ذاكرة التخزين المؤقت لـ axios، بمعالجة الردود التي تحتوي على رأس Vary: Authorization بشكل غير صحيح. قبل الإصدار 1.11.1، كان مفتاح التخزين المؤقت يُنشأ حصريًّا من عنوان URL، متجاهلًا رؤوس الطلبات مثل Authorization. كان هذا يؤدي إلى إرجاع استجابات مخزنة مؤقتًا غير صحيحة عندما يقوم الخادم بإرسال طلبات إلى خدمة أعلى باستخدام رموز مصادقة مختلفة، مما يؤدي إلى احتمال تجاوز المصادقة. التطبيقات التي تعمل على جانب الخادم (server-side) والتي تستخدم axios-cache-interceptor لتخزين الطلبات الموجهة إلى الخدمات الأعلى في ذاكرة التخزين المؤقت، وتتعامل مع طلبات من مستخدمين متعددين باستخدام رموز مصادقة مختلفة، وتعتمد على رأس Vary للتمييز بين محتويات ذاكرة التخزين المؤقت، تكون عرضة لهذا الخطر. أما التطبيقات التي تعمل على المتصفح أو على جانب العميل (client-side)، حيث ترتبط كل جلسة بمستخدم واحد، فهي غير متأثرة. تحدث المشكلة لأن المكتبة تتجاهل رأس Vary، مما يؤدي إلى مشاركة جميع الطلبات لنفس ذاكرة التخزين المؤقت بغض النظر عن التفويض. وقد يؤدي ذلك إلى تسرب بيانات المستخدم بين الجلسات المصادق عليها. ابتداءً من الإصدار 1.11.1، يتم تمكين دعم رأس Vary بشكل افتراضي، بما في ذلك تضمين قيمة رأس التفويض في مفتاح ذاكرة التخزين المؤقت.

قم بالتحديث إلى الإصدار 1.11.1 أو أحدث للاستفادة من الدعم التلقائي لرأس `