PT-2026-7150
CVE-2026-25639
·
تاريخ النشر
2026-02-08
·
تاريخ التحديث
2026-10-09
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Axios الأقدم من 0.30.3
إصدارات Axios الأقدم من 1.13.5
الوصف
تتعطل الدالة
mergeConfig() في Axios مع ظهور خطأ TypeError عند معالجة كائنات التكوين التي تحتوي على proto كخاصية خاصة بها. يحدث هذا لأنه عند وجود proto (على سبيل المثال، عند إنشائه عبر JSON.parse())، تقوم الدالة بالبحث في سلسلة النماذج الأولية (prototype chain) التي تُرجع Object.prototype بدلاً من دالة، مما يؤدي إلى تعطل البرنامج. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق توفير كائن تكوين ضار، مما يؤدي إلى حجب الخدمة بالكامل. تؤثر هذه المشكلة على خوادم Node.js وأي نظام خلفي يمرر JSON الذي يتحكم فيه المستخدم إلى طرق تكوين Axios.التوصيات
التحديث إلى الإصدار 0.30.3 أو أحدث.
التحديث إلى الإصدار 1.13.5 أو أحدث.
كحل مؤقت، تجنب تمرير المدخلات التي يتحكم فيها المستخدم مباشرةً إلى كائن تكوين Axios، مع التأكد بشكل خاص من التحقق من صحة المدخلات التي يتم تحليلها عبر
JSON.parse() لإزالة الخاصية proto قبل معالجتها بواسطة mergeConfig().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾