PT-2026-44911

CVE-2026-44495

تاريخ النشر

2026-05-29

تاريخ التحديث

2026-10-09

الوصف من

CVSS 3.1

7.7

عالية

المقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:H

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Axios من 0.19.0 إلى 0.31.0

إصدارات Axios من 1.x إلى 1.15.1

الوصف

يحتوي Axios على أدوات تلوث النموذج الأولي (prototype-pollution) في معالجة تكوين الطلبات. إذا سمحت ثغرة أمنية منفصلة في نفس عملية JavaScript للمهاجم بتلويث Object.prototype.transformResponse، فقد تعامل الإصدارات المتأثرة هذه القيمة الموروثة على أنها تكوين للطلب أو أداة التحقق من صحة الخيارات. لا تسبب هذه المشكلة تلوث النموذج الأولي بحد ذاتها، بل تعمل كأداة تتطلب سيطرة مسبقة من المهاجم على Object.prototype قبل إنشاء الطلب.

تشمل التفاصيل الفنية ما يلي:

الوظائف المعرضة للخطر: تقرأ وظيفة mergeConfig() قيم التكوين من خلال الوصول القياسي إلى الخصائص، مما يسمح للخصائص المفقودة في تكوين الطلب بالانتقال إلى Object.prototype. ثم تقوم وظيفة transformData() بتنفيذ التحويل المحدد باستخدام تكوين الطلب كـ this.
التأثير: إذا تم تلويث Object.prototype.transformResponse بوظيفة، فيمكنها تجاوز محلل استجابة JSON الافتراضي. وهذا يسمح للوظيفة بمراقبة وتسريب تكوينات الطلب الحساسة، مثل auth (بما في ذلك username وpassword) وعنوان URL للطلب والرؤوس، بالإضافة إلى بيانات الاستجابة الأصلية. وإذا تم تلويثه بقيمة غير دالة (مثل مصفوفة)، فقد يؤدي ذلك إلى هجوم رفض الخدمة (DoS) عن طريق إحداث خطأ TypeError أثناء التحقق من الصحة في validator.assertOptions().