CVE-2026-44494

إصدارات axios من 0.x إلى 1.x

تسمح ثغرة تتعلق بتلوث النموذج الأولي (prototype pollution) في المكون lib/adapters/http.js للمهاجم بتصعيد أي تلوث لـ Object.prototype داخل شجرة التبعيات الخاصة بالتطبيق إلى هجوم كامل من نوع «الرجل في الوسط» (Man-in-the-Middle أو MITM). يحدث هذا لأن محول HTTP يقرأ الخاصية config.proxy عبر الوصول القياسي إلى الخاصية، والذي يمر عبر سلسلة النماذج الأولية. ونظرًا لعدم وجود proxy في الإعدادات الافتراضية للمكتبة، يمكن حقنها عبر تلوث النماذج الأولية، مما يتسبب في قيام الدالة setProxy() بتوجيه كل حركة مرور HTTP عبر خادم وكيل يتحكم فيه المهاجم.

وهذا يسمح لمهاجم عن بُعد باعتراض وقراءة وتعديل كل حركة مرور HTTP، بما في ذلك بيانات اعتماد المصادقة وملفات تعريف الارتباط ونصوص الطلبات. يمكن للمهاجم أيضًا التلاعب بالاستجابات وإجراء استطلاع داخلي للشبكة من خلال عرض عناوين URL للطلبات. تتجاوز هذه المشكلة منطق mergeConfig ولا يعالجها تصحيح تنقية الرؤوس في الإصدار 1.15.0.

بالنسبة للإصدارات من 0.x إلى 1.x، استخدم hasOwnProperty عند قراءة خصائص التكوين الحساسة أمنياً في lib/adapters/http.js للتأكد من أن الخاصية موجودة في الكائن نفسه وليس في نموذجه الأولي. على وجه التحديد، يجب الوصول إلى الخاصية config.proxy على النحو التالي: Object.prototype.hasOwnProperty.call(config, ’proxy‘) ? config.proxy : undefined.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الخاصية config.proxy