PT-2026-35050 · Npm+1 · Axios+1
CVSS v3.1
8.2
عالية
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 1.15.1
إصدارات Axios الأقدم من 0.31.1
الوصف
المكتبة معرضة لهجوم من نوع «Prototype Pollution Gadget». ويحدث ذلك لأن خاصية التكوين
validateStatus تستخدم استراتيجية الدمج mergeDirectKeys، التي تعتمد على عامل التشغيل «in» في JavaScript الذي يتنقل عبر سلسلة البروتوتايب. إذا تم تلويث Object.prototype.validateStatus بـ () => true، فسيتم التعامل مع جميع استجابات أخطاء HTTP (مثل 401 و403 و500) على أنها استجابات ناجحة، مما يؤدي فعليًّا إلى تجاوز المصادقة على مستوى التطبيق ومعالجة الأخطاء.التوصيات
التحديث إلى الإصدار 1.15.1 أو أحدث.
التحديث إلى الإصدار 0.31.1 أو أحدث.
استغلال
إصلاح
DoS
Prototype Pollution
Improper Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Axios
Confluence