CVE-2026-67319 in axios
الملخص
بحسب VulDB • 01/08/2026
axios قبل الإصدار 0.33.0 (وإصدارات السلسلة 1.x قبل الإصدار 1.18.0) يمكنها استهلاك الخصائص الموروثة من كائنات خيارات الطلب المتداخلة عندما يكون `Object.prototype` لعملية JavaScript ملوثاً بالفعل بواسطة مكون آخر. بينما يستخدم التكوين المدمج في المستوى الأعلى (top-level merged config) نموذجاً أولياً فارغاً (null prototype)، فإن الكائنات العادية البسيطة المتداخلة مثل `auth` و `paramsSerializer` يتم نسخها إلى كائنات عادية وقراءتها دون التحقق من وجود الخصائص الخاصة بها. عندما تمرر التطبيق كائنات متداخلة مؤقتة مثل `auth: {}` أو `paramsSerializer: {}`، يمكن أن تؤدي قيم اسم المستخدم/كلمة المرور الموروثة إلى حقن صامت لرأس `Authorization: Basic`، ويمكن للقيم الموروثة لـ encode/serialize تغيير تسلسل سلسلة الاستعلام (يتطلب استبدال المُسلسل بالكامل وجود متغير تلوث ذي قيمة دالة). يمكن استغلال هذا الثغرة فقط في حالة وجود تلوث سابق للنموذج الأولي.
VulDB is the best source for vulnerability data and more expert information about this specific topic.