PT-2026-30321
CVE-2026-35209
·
تاريخ النشر
2026-04-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات defu السابقة للإصدار 6.1.5
الوصف
التطبيقات التي تستخدم برنامج
defu معرضة لـ«تلوث النموذج الأصلي» (prototype pollution) عند معالجة مدخلات المستخدم غير المُعقمة، مثل نصوص طلبات JSON التي تم تحليلها، أو سجلات قواعد البيانات، أو ملفات التكوين الواردة من مصادر غير موثوقة. يمكن لحمولة مصممة خصيصًا تحتوي على مفتاح proto أن تتجاوز القيم الافتراضية في النتيجة المدمجة. كانت الدالة الداخلية defu تستخدم سابقًا Object.assign({}, defaults)، والتي تستدعي مُعيّن proto، مما يسمح للقيم التي يتحكم فيها المهاجم باستبدال نموذج الكائن. وهذا يسمح للخصائص الموروثة من النموذج الملوث بتجاوز الإجراءات الوقائية الحالية والظهور في النتيجة النهائية. تم معالجة هذه الثغرة الأمنية عن طريق استبدال Object.assign({}, defaults) بانتشار الكائن ({ ...defaults })، مما يتجنب استدعاء مُعيّن proto.التوصيات
قم بالتحديث إلى الإصدار 6.1.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾