CVE-2026-67321

إصدارات axios من 0.31.1 إلى 0.32.x

إصدارات axios من 1.15.1 إلى 1.17.x

يوجد ثغرة غير مكتملة لتجاوز حد العمق في ملف lib/helpers/toFormData.js عند تسلسل الكائنات ذات المفاتيح ذات المستوى الأعلى التي تنتهي بـ {}. عند وجود مثل هذا المفتاح، يقوم البرنامج باستدعاء JSON.stringify() على القيمة قبل أن يتمكن الحارس formSerializer.maxDepth من فحص البنية المتداخلة. يمكن للمهاجم الذي يتحكم في مفاتيح الكائنات والقيم المتداخلة التي يتم تمريرها إلى تسلسل النماذج أو المعلمات في axios أن يثير خطأ RangeError (تجاوز الحد الأقصى لحجم مكدس الاستدعاءات)، مما يؤدي إلى رفض الخدمة في مسار الطلب المتأثر.

تؤثر هذه المشكلة على المكونات التالية:

قم بتحديث axios إلى الإصدار 0.33.0 أو أحدث.

قم بتحديث axios إلى الإصدار 1.18.0 أو أحدث.

كحل مؤقت، قم برفض الكائنات غير الموثوق بها أو وضع حد لعمقها قبل تمريرها إلى تسلسل axios.

قم بإزالة أو رفض مفاتيح المستوى الأعلى التي تنتهي بـ {} من الكائنات غير الموثوق بها عند استخدام تسلسل النماذج في axios.

بالنسبة لمعلمات الاستعلام، استخدم paramsSerializer.serialize مخصصًا يفرض حدًا للعمق.

بالنسبة لنصوص النماذج، قم بإنشاء FormData أو URLSearchParams يدويًّا بعد التحقق من صحة عمق الإدخال.