CVE-2026-44483

إصدارات RVF من 6.0.0 إلى 6.0.3

إصدارات RVF من 7.0.0 إلى 7.0.1

تفشل الدالة setPath الموجودة في @rvf/set-get (التي يستخدمها @rvf/core لتسوية بيانات النماذج الواردة إلى كائن متداخل) في حظر المفاتيح proto أو constructor أو prototype عند تتبع المسار. نظرًا لأن أسماء الحقول في بيانات النموذج المرسلة تُمرر مباشرةً إلى setPath عبر preprocessFormData (ومن خلال parseFormData أو validate)، يمكن للمهاجم تعيين خصائص عشوائية على Object.prototype لعملية الخادم قيد التشغيل. يُعد هذا ثغرة «تلوث النموذج الأولي» (prototype pollution) — وهي حالة يمكن للمهاجم فيها التلاعب بالنموذج الأولي للكائنات الأساسية لتغيير سلوك التطبيق — وهي ثغرة يمكن الوصول إليها افتراضيًا دون الحاجة إلى تكوين خاص. تتأثر أي نقطة نهاية تقبل نموذجًا عبر parseFormData أو تُشغّل أداة التحقق من الصحة التي تم إنشاؤها باستخدام createValidator(). وقد يؤدي ذلك إلى تجاوز الفحوصات الأمنية، أو إدخال قيم تكوين غير مقصودة، أو تعطيل عرض القوالب، أو التسبب في رفض الخدمة عن طريق تعطيل عملية العامل.

قم بتحديث إصدارات RVF من 6.0.0 إلى 6.0.3 إلى الإصدار 6.0.4.

قم بتحديث إصدارات RVF من 7.0.0 إلى 7.0.1 إلى الإصدار 7.0.2.