PT-2026-48677
CVE-2026-44490
·
تاريخ النشر
2026-05-29
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 0.32.0
إصدارات Axios الأقدم من 1.16.0
الوصف
يحتوي Axios على ثغرتين تتعلقان بتلوث النموذج الأولي (prototype pollution) في جانب القراءة. يحدث تلوث النموذج الأولي عندما يقوم مهاجم أو أحد التبعيات بتعديل النموذج الأولي للكائن الأساسي (Object)، مما يسمح بوراثة الخصائص من قبل جميع الكائنات في العملية. إذا تم تلويث Object.prototype بواسطة تبعيات أعلى في السلسلة، فإن Axios يتبنى هذه القيم الملوثة بصمت. في الدالة
merge() الموجودة في lib/utils.js، يتم إنشاء المجمع ككائن عادي، مما يتسبب في قيام result[targetKey] باجتياز سلسلة النماذج الأولية ونسخ المفاتيح الملوثة إلى الرؤوس المدمجة. بالإضافة إلى ذلك، في ملف lib/core/mergeConfig.js، يتم إنشاء واصف hasOwnProperty ككائن عادي حرفي؛ ونظرًا لأن Object.defineProperty يقرأ descriptor.get وdescriptor.set عبر سلسلة النماذج الأولية، فإن خصائص Object.prototype.get أو Object.prototype.set الملوثة تتسبب في حدوث خطأ TypeError متزامن في كل طلب.التوصيات
التحديث إلى الإصدار 0.32.0 أو أحدث.
التحديث إلى الإصدار 1.16.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾