PT-2026-40538
CVE-2026-44292
·
تاريخ النشر
2026-05-12
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات protobufjs الأقدم من 7.5.6
إصدارات protobufjs الأقدم من 8.0.2
الوصف
تقوم مُنشِئات الرسائل بإنشاء دوال JavaScript تنسخ الخصائص القابلة للتعداد من كائن خصائص مُقدَّم دون تصفية المفتاح
proto. إذا قام أحد التطبيقات بإنشاء رسالة من كائن عادي يتحكم فيه المهاجم، فإن خاصية proto القابلة للتعداد الخاصة به يمكن أن تغير النموذج الأولي لمثيل تلك الرسالة الفردي. يتيح حقن النموذج الأولي لكل مثيل على حدة للمهاجم تعديل سلسلة النماذج الأولية لمثيل الرسالة الناتج، مما قد يؤثر على سلوك التطبيقات اللاحقة التي تعتمد على الخصائص الموروثة أو أساليب النموذج الأولي أو عمليات التحقق من instanceof. لا تتأثر التطبيقات التي تقوم فقط بفك تشفير بيانات protobuf الثنائية أو تستخدم كائنات موثوقة.التوصيات
التحديث إلى الإصدار 7.5.6.
التحديث إلى الإصدار 8.0.2.
التحقق من صحة مفاتيح الكائنات أو تنقيتها لرفض خصائص
proto عند قبول مدخلات JSON غير موثوق بها قبل إنشاء الرسائل.تجنب تمرير كائنات عادية يسيطر عليها المهاجم مباشرةً إلى منشئات الرسائل التي تم إنشاؤها.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾