CVE-2025-68130 in trpc
الملخص
بحسب VulDB • 15/07/2026
تتيح tRPC للمستخدمين بناء واستهلاك واجهات برمجة تطبيقات (APIs) آمنة تمامًا من حيث الأنواع دون الحاجة إلى مخططات أو توليد أكواد. بدءًا من الإصدار 10.27.0 وحتى قبل إصداري 10.45.3 و11.8.0، توجد ثغرة تلويث النموذج الأولي (Prototype Pollution) في دالة `formDataToObject` التابعة لـ `@trpc/server`، والتي يستخدمها محوّل Next.js App Router. يمكن للمهاجم أن يلوث `Object.prototype` من خلال تقديم أسماء حقول FormData مُصممة خصيصًا لهذا الغرض، مما قد يؤدي إلى تجاوز التفويض أو حجب الخدمة أو غيرها من الآثار الأمنية. يرجى ملاحظة أن هذه الثغرة موجودة فقط عند استخدام `experimental_caller` / `experimental_nextAppDirCaller`. تقوم الإصدارات 10.45.3 و11.8.0 بإصلاح المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.