PT-2026-28596
CVE-2026-34043
·
تاريخ النشر
2026-03-25
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات serialize-javascript الأقدم من 7.0.5
الوصف
تتعلق هذه المشكلة بحالة رفض الخدمة (DoS) الناتجة عن استنفاد موارد وحدة المعالجة المركزية (CPU). عند تسلسل كائن ”شبيه بالمصفوفة“ مصمم خصيصًا – وهو كائن يرث من
Array.prototype مع خاصية length كبيرة جدًا – تدخل العملية في حلقة مكثفة، تستهلك 100% من موارد وحدة المعالجة المركزية (CPU) وتتسبب في توقف غير محدد المدة. تحدث هذه الثغرة الأمنية عند استخدام الدالة serialize() مع كائنات غير موثوق بها أو خاضعة لسيطرة المستخدم. وتتفاقم المشكلة إذا كان التطبيق معرضًا أيضًا لخطر «تلوث النماذج الأولية» (Prototype Pollution) أو يعالج بيانات غير موثوق بها عبر «إلغاء تسلسل YAML»، حيث يمكن استخدام هذه الثغرات لحقن الكائن الخبيث. تمت معالجة المشكلة عن طريق استبدال فحوصات instanceof Array بـ Array.isArray() واستخدام Object.keys() للكشف عن المصفوفات المتفرقة.التوصيات
الترقية إلى الإصدار 7.0.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾