CVE-2026-67320

إصدارات axios من 0.31.1 إلى 0.32.x

إصدارات axios من 1.15.2 إلى 1.17.x

في عمليات نشر Node.js التي تستخدم محول HTTP، يؤدي تجاوز إجراءات الحماية ضد «تلوث البروتوتايب» إلى السماح بتوجيه الطلبات عبر وكيل (بروكسي) يسيطر عليه المهاجم. في حين أن البرنامج يقوم في البداية بإنشاء كائن نموذجي فارغ (null-prototype) لتكوين الطلبات لمنع تلوث النموذج الأولي، فإن معترضات الطلبات التي تستخدم أنماطًا غير قابلة للتغيير — مثل {...config} أو Object.assign({}, config) — تعيد تحويل هذا الكائن إلى كائن عادي. ونظرًا لأن البرنامج لا يعيد تعزيز أمان التكوين قبل الإرسال، فإن محول HTTP الخاص بـ Node يقرأ المتغير config.proxy عبر سلسلة النموذج الأولي. إذا قام المهاجم بتلويث Object.prototype.proxy، فيمكنه اعتراض طلبات HTTP النصية العادية لمراقبة رؤوس Authorization، والمصادقة الأساسية من config.auth، وطريقة الطلب، وعنوان URL المطلق، ورأس Host، ونص الطلب، كما يمكنه إرجاع استجابات مخصصة. لا تؤثر هذه المشكلة على محولات المتصفح أو طلبات HTTPS الخاضعة للتحقق العادي من TLS.

قم بتحديث axios إلى الإصدار 0.33.0 أو أحدث بالنسبة لفرع 0.x.

قم بتحديث axios إلى الإصدار 1.18.0 أو أحدث بالنسبة لفرع 1.x.

كحل مؤقت، قم بتعيين proxy: false على الطلبات المتأثرة أو مثيلات axios عندما لا يكون دعم الوكيل مطلوبًا.

تجنب استخدام معترضات الطلبات التي تُرجع نسخًا عادية من الكائن الخاص بالتكوين.

استخدم محول Node fetch للطلبات المتأثرة حيث تتوافق