PT-2026-6275
CVE-2026-25150
·
تاريخ النشر
2026-02-03
·
تاريخ التحديث
2026-02-04
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Qwik الأقدم من 1.19.0
الوصف
Qwik هو إطار عمل JavaScript يركز على الأداء. توجد ثغرة أمنية تتعلق بتلوث النموذج الأولي في الدالة
formToObj() داخل البرمجيات الوسيطة @builder.io/qwik-city. تقوم الدالة بمعالجة أسماء حقول النموذج باستخدام صيغة النقطة، لكنها لا تقوم بتنقية أسماء الخصائص الخطرة مثل proto وconstructor وprototype. وهذا يسمح للمهاجمين غير المصادق عليهم بتلويث Object.prototype عن طريق إرسال طلبات HTTP POST مُتلاعب بها، مما قد يؤدي إلى رفع الامتيازات أو التحايل على المصادقة أو رفض الخدمة.التوصيات
قم بالتحديث إلى الإصدار 1.19.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾