PT-2026-46300
CVE-2026-44486
·
تاريخ النشر
2026-06-04
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 0.32.0
إصدارات Axios الأقدم من 1.16.0
الوصف
يمكن لمحول HTTP الخاص بـ Node.js في Axios أن يتسبب في تسرب بيانات اعتماد الوكيل إلى هدف إعادة التوجيه. عند إرسال طلب عبر وكيل تمت مصادقته، يتم إضافة رأس
Proxy-Authorization. إذا تبع الطلب عملية إعادة توجيه ولم يعد الطلب اللاحق يُرسل عبر ذلك الوكيل، فقد يبقى رأس Proxy-Authorization القديم ويتم إرساله إلى هدف إعادة التوجيه. يحدث هذا عند تمكين عمليات إعادة التوجيه التلقائية وتكوين وكيل مصادق عليه، وتحديدًا ضمن الدالة setProxy() في الملف lib/adapters/http.js. لا تؤثر هذه المشكلة على سلوك محولات المتصفح أو XHR أو محول fetch، كما أنها لا تؤثر على الطلبات التي تم تعيين maxRedirects فيها على 0.التوصيات
قم بالتحديث إلى الإصدار 0.32.0 أو أحدث.
قم بالتحديث إلى الإصدار 1.16.0 أو أحدث.
اضبط
maxRedirects على 0 وقم بمعالجة عمليات إعادة التوجيه يدويًّا.تجنب استخدام متغيرات بيئة الوكيل المصادق عليه للطلبات الموجهة إلى مصادر HTTP غير موثوق بها ما لم يتم التحكم في سلوك إعادة التوجيه.
تأكد من تكوين متغيرات بيئة الوكيل بشكل متسق عبر البروتوكولات لمنع عمليات إعادة التوجيه من التغيير بشكل غير متوقع من اتصالات عبر الوكيل إلى اتصالات مباشرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾