PT-2026-44909
CVE-2026-44489
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-09-14
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios من 1.15.2 إلى 1.15.9
الوصف
يتم إنشاء الكائنات المتداخلة التي تنشئها الدالة
merge() في ملف utils.js ككائنات عادية، مما يعني أنها تحتفظ بـ Object.prototype في سلسلة بروتوتايبها. تقوم الدالة setProxy() في ملف lib/adapters/http.js بقراءة الخصائص username وpassword وauth للكائن proxy دون استخدام فحوصات hasOwnProperty. إذا كان Object.prototype.username ملوثًا، فستقوم setProxy() بإنشاء رأس Proxy-Authorization باستخدام بيانات اعتماد يسيطر عليها المهاجم وإدخالها في كل طلب HTTP يتم توجيهه عبر الوكيل. هذه المشكلة هي تجاوز للتصحيح السابق الذي كان يحمي كائنات التكوين ذات المستوى الأعلى فقط.التوصيات
قم بتحديث Axios إلى الإصدار 1.16.0.
كحل مؤقت، تجنب استخدام تكوين
proxy في الإصدارات المتأثرة حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾