CVE-2026-46625

إصدارات js-cookie الأقدم من 3.0.7

تقوم الدالة الداخلية assign() بنسخ الخصائص باستخدام حلقة for...in وعملية التعيين البسيطة. عند إنشاء كائن مصدر عبر JSON.parse، يُعامل العضو proto كخاصية قابلة للتعداد خاصة به. وهذا يسمح لعملية target[key] = source[key] بتشغيل مُعيّن Object.prototype. proto على الكائن الهدف، مما يؤدي إلى اختطاف النموذج الأولي لكل مثيل. ونتيجة لذلك، تقوم الدالة set() بتعداد هذه الخصائص الملوثة، مما يسمح للمهاجم بحقن أزواج من الخصائص غير المصرح بها مثل domain= وsecure= وsamesite= وexpires= وpath= في سلسلة Set-Cookie الناتجة. يحدث هذا عندما تمرر التطبيقات كائنات مشتقة من JSON كحجة attributes إلى دوال مثل set() أو remove() أو withAttributes() أو withConverter().

قم بالتحديث إلى الإصدار 3.0.7.

كحل مؤقت، تجنب تمرير كائنات مشتقة من JSON مباشرةً كحجة attributes إلى الدوال set() أو remove() أو withAttributes() أو withConverter().