PT-2026-31616
CVE-2025-62718
·
تاريخ النشر
2026-04-09
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 0.31.0
إصدارات Axios الأقدم من 1.15.0
الوصف
لا يتعامل Axios بشكل صحيح مع توحيد أسماء المضيفين عند التحقق من قواعد
NO PROXY. ونظرًا لأن البرنامج يقوم بمقارنة السلاسل الحرفية بدلاً من توحيد أسماء المضيفين، فإن الطلبات الموجهة إلى عناوين loopback مثل localhost. (مع نقطة في النهاية) أو [::1] (IPv6 حرفي) تتخطى مطابقة NO PROXY ويتم إرسالها عبر الوكيل المُهيأ. يسمح هذا السلوك للمهاجمين بفرض توجيه الطلبات عبر الوكيل حتى في حالة وجود إجراءات حماية للخدمات الداخلية أو خدمات loopback، مما يؤدي إلى تجاوز الوكيل وتزوير الطلبات من جانب الخادم (SSRF). SSRF هو ثغرة أمنية يمكن للمهاجم من خلالها حث تطبيق من جانب الخادم على إرسال طلبات إلى موقع غير مقصود. هناك تقارير تفيد بأن هذه المشكلة يتم استغلالها بشكل نشط للتلاعب بطلبات الخادم وكشف البيانات الحساسة.التوصيات
التحديث إلى الإصدار 0.31.0 أو أحدث.
التحديث إلى الإصدار 1.15.0 أو أحدث.
تنفيذ التحقق الصارم من صحة المدخلات لعناوين URL الخاصة بالطلبات.
كإجراء تخفيفي مؤقت، قم بتوحيد أسماء المضيفين عن طريق حذف النقاط الختامية وإزالة الأقواس من القيم الحرفية لـ IPv6 قبل معالجتها بواسطة العميل.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾