PT-2026-67293
CVE-2026-67313
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات axios 0.28.0 وما بعدها
الوصف
يوجد تكرار غير خاضع للرقابة في الدالة
formDataToJSON عند معالجة أسماء حقول FormData التي تحتوي على أجزاء من الأقواس متداخلة بعمق. يمكن للمهاجم تزويد FormData بأسماء حقول تحتوي على آلاف الأقواس المتداخلة لاستنفاد مكدس استدعاءات JavaScript، مما يؤدي إلى حدوث خطأ RangeError. ويؤدي ذلك إلى فشل الطلب أو إنهاء العملية في التطبيقات التي لا تتعامل مع الاستثناء، مما ينتج عنه رفض الخدمة. تؤثر هذه المشكلة على واجهة برمجة التطبيقات axios.formToJSON(formData)، وعملية الاستيراد formToJSON، والملف lib/helpers/formDataToJSON.js، وtransformRequest الافتراضي عند إرسال FormData بنوع محتوى application/json. يتم تشغيل الثغرة الأمنية عبر الدالة buildPath()، التي تعالج أجزاء المسار بشكل متكرر دون فرض حد أقصى للعمق.التوصيات
بالنسبة لإصدارات axios 0.28.0 والإصدارات الأحدث، تحقق من صحة أسماء حقول
FormData لرفض المفاتيح التي يتجاوز عمق تداخلها المخطط المتوقع قبل استدعاء formToJSON() أو إرسال FormData بنوع المحتوى Content-Type: application/json.بالنسبة لطلبات axios التي تحمل
FormData غير موثوق بها، تجنب تعيين Content-Type: application/json لتجاوز عملية formDataToJSON().كإجراء تخفيفي مؤقت، قم بتنفيذ معالجة الأخطاء لالتقاط خطأ
RangeError الناتج لمنع إنهاء العملية بالكامل.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾