CVE-2026-32701

إصدارات Qwik السابقة للإصدار 1.19.2

Qwik هو إطار عمل JavaScript، حيث كانت الإصدارات السابقة للإصدار 1.19.2 تفسر بشكل خاطئ المصفوفات المستمدة من أسماء حقول النماذج التي تحتوي على نقاط أثناء تحليل FormData. يمكن للمهاجم إرسال مفاتيح مختلطة من مؤشرات المصفوفات وخصائص الكائنات لنفس المسار، مما قد يؤدي إلى كتابة خصائص يتحكم فيها المستخدم على قيم يُتوقع أن تكون مصفوفات. عند معالجة طلبات application/x-www-form-urlencoded أو multipart/form-data، كان Qwik City يحول أسماء الحقول المنقطة (مثل items.0، items.1) إلى هياكل متداخلة. إذا تم تفسير المسار على أنه مصفوفة، فإن المفاتيح الإضافية التي يزودها المهاجم — مثل items.toString أو items.push أو items.valueOf أو items.length — قد تغير القيمة من جانب الخادم بشكل غير متوقع. وقد يؤدي ذلك إلى فشل معالجة الطلبات، أو رفض الخدمة من خلال حالة مصفوفة مشوهة أو أطوال كبيرة جدًا، وخلط في أنواع البيانات في الكود التالي. تؤثر هذه المشكلة على تحليل النماذج في معالجة طلبات Qwik City ولا تتطلب مصادقة إذا كان المسار المعرض للخطر متاحًا للجمهور. يمكن للمهاجم إرسال نماذج مُعدة خصيصًا تتسبب في اختلاف المدخلات التي تم تحليلها عن الشكل المتوقع للتطبيق، مما قد يؤدي إلى حدوث أخطاء في وقت التشغيل أو التسبب في خلط الأنواع.

قم بالتحديث إلى إصدار Qwik 1.19.2 أو أحدث.

تجنب الوثوق في أن بيانات النماذج التي تم تحليلها تشكل مصفوفة صحيحة عند استخدام أسماء الحقول المنقطة.

تحقق من صحة مدخلات الإجراءات أو قم بتوحيدها قبل استخدام أساليب المصفوفات أو الاعتماد عليها