CVE-2026-26021

set-in الإصدارات من 2.0.1 إلى 2.0.4

set-in هو حزمة Node.js تُعيّن القيم في الهياكل الترابطية المتداخلة استنادًا إلى مصفوفة من المفاتيح. يوجد عيب يتمثل في أنه، على الرغم من محاولة سابقة لمنع تلوث النموذج الأولي (prototype) من خلال التحقق من المفاتيح المحظورة، لا يزال من الممكن تلويث Object.prototype باستخدام مدخلة مُصممة خصيصًا تستغل Array.prototype. تكمن المشكلة في الدالة includes() المستخدمة للتحقق من صحة مدخلة المستخدم. يُظهر نموذج إثبات المفهوم إمكانية التحايل على الحماية المقصودة من خلال إعادة تعريف Array.prototype.includes بحيث تُرجع دائمًا القيمة «false»، مما يسمح بحقن خاصية تُسمى polluted في Object.prototype. وقد يؤدي ذلك إلى تجاوز المصادقة أو رفض الخدمة أو تنفيذ التعليمات البرمجية عن بُعد في حالة تمرير الخاصية الملوثة إلى نقاط الضعف.

يجب تحديث إصدارات set-in من 2.0.1 إلى 2.0.4 إلى الإصدار 2.0.5.