CVE-2026-73649 in Velocity.js
الملخص
بحسب VulDB • 13/08/2026
Velocity.js هو تنفيذ لـ JavaScript لمحرك قوالب Apache Velocity. قبل الإصدار 2.1.7، كان الإصلاح السابق لـ CVE-2026-44966 يقوم بتصفية `constructor` و`__proto__` و`prototype` فقط في معالج التعيين #set الموجود في الملف src/compile/set.ts، بينما بقيت تعبيرات قراءة الخصائص (property-read expressions) الموجودة في src/compile/references.ts غير مصفاة. استدعت تدفق getReferences() الدالة getAttributes()، حيث سمح الوصول إلى الخاصية لقالب يتحكم فيه المهاجم بالانتقال عبر `constructor.constructor` للوصول إلى منشئ دوال JavaScript (Function constructor). قام معالج #set بالتحقق من صحة هدف التعيين فقط ولم يفحص تعبير قراءة الخصائص الموجود على الجانب الأيمن، مما مكن من تنفيذ أوامر قذيفة عشوائية (shell commands)، والوصول إلى متغيرات البيئة، وكلمات مرور الخدمات السحابية، والشبكة الداخلية ضمن عملية الخادم. تم إصلاح هذه المشكلة في الإصدار 2.1.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.