PT-2026-32030
CVE-2026-40175
·
تاريخ النشر
2026-04-09
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات axios الأقدم من 1.15.0
إصدارات axios الأقدم من 0.3.1
الوصف
تتعرض مكتبة axios لسلسلة هجمات من نوع ”gadget“ حيث يمكن تصعيد تلوث النماذج الأولية (prototype pollution) في أي تبعيات تابعة لجهات خارجية. يحدث هذا لأن المكتبة لا تقوم بتنقية قيم رؤوس HTTP من أحرف إرجاع العربة وتغذية السطر (CRLF)، مما يسمح للمهاجم بحقن طلبات HTTP منفصلة. ويمكن أن يؤدي ذلك إلى تهريب الطلبات، وتزوير الطلبات من جانب الخادم (SSRF)، وتجاوز AWS IMDSv2 لاستخراج البيانات الوصفية السحابية وبيانات اعتماد IAM، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) أو اختراق السحابة بالكامل. وتزداد خطورة هذه المشكلة بشكل خاص عند استخدام محولات axios مخصصة أو تكوينات غير قياسية تتجاوز مكدس HTTP القياسي لـ Node.js، حيث إن بيئة التشغيل عادةً ما تمنع حقن CRLF.
التوصيات
تحديث axios إلى الإصدار 1.15.0 أو أحدث.
تحديث axios إلى الإصدار 0.3.1 أو أحدث.
كحل مؤقت، تقييد استخدام محولات axios المخصصة أو إنشاء الطلبات يدويًا التي تتجاوز مكدس HTTP القياسي.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾