CVE-2026-67316

إصدارات axios الأقدم من 0.33.0

إصدارات axios الأقدم من 1.18.0

يُعتبر axios عرضة لـ«أدوات تلوث بروتوتايب جانب القراءة» التي يمكنها تغيير بنية الطلب إذا كان Object.prototype قد تعرض للتلوث بسبب ثغرة أمنية أخرى أو تبعيات. في الأسماء المستعارة للطرق التي لا تحتوي على نص، مثل axios.get() وaxios.delete() وaxios.head() وaxios.options()، يقرأ البرنامج data الموروثة عبر (config || {}).data قبل توحيد التكوين. وهذا يسمح للمهاجم بحقن نص طلب خاضع للتحكم في الطلبات التي لم يكن من المفترض أن تحتوي على نص، مما قد يؤدي إلى إتلاف دلالات الطلب على الخدمة المستقبلة.

بالإضافة إلى ذلك، تتأثر المسارات منخفضة المستوى عند استدعاء المحولات أو المساعدات المصدرة (مثل lib/adapters/http.js وunsafe/helpers/resolveConfig.js) مباشرةً باستخدام تكوينات عادية. في هذه الحالات، قد يرث البرنامج قيم «proxy» ملوثة، مما يؤدي إلى توجيه الطلبات عبر وكيل يتحكم فيه المهاجم، أو قيم «paramsSerializer» ملوثة، مما يسمح بتسلسل عناوين URL يتحكم فيه المهاجم. لا تحدث هذه المشكلات منخفضة المستوى أثناء استدعاءات axios العادية عالية المستوى في الإصدارات 1.15.2 وما بعدها.

قم بتحديث axios إلى الإصدار 0.33.0 أو أحدث.

قم بتحديث axios إلى الإصدار 1.18.0 أو الأحدث.

كإجراء تخفيفي مؤقت، قم بتمرير data: undefined بشكل صريح عند استخدام أسماء مستعارة للطرق بدون نص في البيئات التي يُشكل فيها تلوث النماذج الأولية مصدر قلق.

تجنب معالجة المدخلات غير الموثوق بها باستخدام المكتبة