CVE-2026-46510

إصدارات form-data-objectizer السابقة للإصدار 1.0.1

يفشل البرنامج في تصفية proto أو constructor أو prototype عند تحويل FormData إلى كائنات باستخدام مفاتيح النموذج ذات الترميز بين الأقواس. يمكن للمهاجم إرسال حقل نموذج HTTP واحد باسم يبدأ بـ proto [...] لتغيير Object.prototype، مما يؤدي إلى تلوث النموذج الأولي عبر عملية Node.js بأكملها. يحدث هذا داخل الدالتين treatInitial() وtreatSecond() في ملف index.cjs. يمكن استغلال هذه المشكلة لتجاوز الفحوصات الأمنية، أو إدخال قيم التكوين، أو تعطيل عرض القوالب، أو التسبب في رفض الخدمة عن طريق تعطيل عملية العامل.

قم بالتحديث إلى الإصدار 1.0.1.