PT-2026-46303
CVE-2026-44496
·
تاريخ النشر
2026-06-04
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 0.32.0
إصدارات Axios الأقدم من 1.16.0
الوصف
يقوم Axios بإنشاء تعبير عادي من اسم ملف تعريف الارتباط XSRF المُهيأ دون تجنب أحرف التعبير العادي الخاصة. في بيئات المتصفحات القياسية، يمكن للمهاجم الذي يستطيع التأثير على اسم ملف تعريف الارتباط الذي يتم تمريره إلى Axios أن يُحدث عملية تراجع مكلفة للتعبير العادي أثناء قراءة المكتبة لـ
document.cookie. يؤدي هذا إلى هجوم رفض الخدمة (DoS) من جانب العميل، والذي قد يؤدي إلى تجميد علامة تبويب المتصفح المتأثرة وتقليل توفر التطبيق. تحدث المشكلة داخل الدالة read(name) في ملف lib/helpers/cookies.js وتؤثر على مسارات الكود في ملفات lib/helpers/resolveConfig.js وlib/adapters/xhr.js. لا يؤثر هذا على الاستخدام العادي لمحول HTTP في Node.js، أو React Native، أو web workers، حيث إن هذه البيئات لا تستخدم document.cookie.التوصيات
قم بتحديث Axios إلى الإصدار 0.32.0 أو أحدث بالنسبة لسلسلة الإصدارات 0.x.
قم بتحديث Axios إلى الإصدار 1.16.0 أو أحدث بالنسبة لسلسلة الإصدارات 1.x.
اضبط
xsrfCookieName على null إذا كان التطبيق لا يتطلب من Axios قراءة ملف تعريف ارتباط XSRF.تجنب اشتقاق
xsrfCookieName من مدخلات غير موثوق بها أو تحقق من صحتها مقابل قائمة السماح الصارمة قبل تمريرها إلى Axios.تجنب استدعاء
axios/unsafe/helpers/cookies.js مباشرةً باستخدام أسماء غير موثوق بها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾