CVE-2026-42044

إصدارات Axios من 1.0.0 إلى 1.15.1

Axios هو عميل HTTP قائم على الـ«promise» للمتصفح وNode.js. المكتبة معرضة لهجوم «Prototype Pollution Gadget». يحدث هذا لأن الدالة الافتراضية transformResponse تستدعي JSON.parse(data, this.parseReviver)، حيث يمثل this كائن التكوين المدمج. ونظرًا لعدم وجود parseReviver في الإعدادات الافتراضية، وعدم التحقق من صحتها بواسطة assertOptions، وافتقارها إلى القيود، يتم تنفيذ دالة Object.prototype.parseReviver الملوثة لكل زوج من المفتاح والقيمة في كل استجابة JSON. وهذا يسمح للمهاجم بتعديل قيم فردية بشكل انتقائي في استجابات واجهة برمجة تطبيقات JSON، مما قد يؤدي إلى تصعيد الامتيازات، والتلاعب بالرصيد، وتجاوز التفويض.

تحديث Axios إلى الإصدار 1.15.2.