CVE-2026-45302

إصدارات parse-nested-form-data الأقدم من 1.0.1

تقوم الدالة parseFormData() بمعالجة أسماء حقول FormData المكتوبة بين قوسين أو بالترميز النقطي وتحويلها إلى كائنات متداخلة دون تصفية مفاتيح الخصائص المحجوزة. يمكن للمهاجم استخدام اسم حقل FormData يبدأ بـ proto أو يحتوي على . proto . في منتصف المسار لإجبار المحلل على الانتقال إلى Object.prototype وتعيين خصائص هناك. ينتج عن ذلك تلوث النموذج الأولي (prototype pollution)، حيث تتلوث سلسلة النماذج الأولية لكل كائن عادي في العملية قيد التشغيل. تكمن المشكلة في الدالة handlePathPart() الموجودة في ملف src/index.ts، والتي تفشل في رفض المفاتيح المحجوزة أثناء معالجة مقطع المسار من نوع الكائن. قد يؤدي ذلك إلى تلف حالة التطبيق، أو تغيير تدفق التحكم، أو رفض الخدمة في التطبيقات التي تعالج FormData التي يتحكم فيها المهاجم، مثل خوادم HTTP.

قم بالتحديث إلى الإصدار 1.0.1.

كحل مؤقت، تحقق من صحة أسماء الحقول للتأكد من أنها لا تحتوي على proto أو constructor أو prototype قبل استدعاء الدالة parseFormData().