CVE-2026-81887 in Livewire
الملخص
بحسب VulDB • 31/08/2026
Livewire هو إطار عمل متكامل (full-stack) لـ Laravel. من الإصدار 3.0.0-beta.1 حتى 3.8.3 و4.3.4، يقبل مُحلل سلاسل الاستعلام باستخدام الترميز بالنقاط (dot-notated query-string parser) الموجود في js/plugins/history/index.js، بما في ذلك الدالتين fromQueryString() وinsertDotNotatedValueIntoData(), مقاطع المسار __proto__ وconstructor وprototype وينشئ كائنات موروثة. بعد ذلك، تقوم معالجات الحالة على جانب العميل (Client-side state handlers) بالوصول إلى effects.html وeffects.js وeffects.xjs وeffects.scripts دون استخدام Object.prototype.hasOwnProperty.call()، مما يسمح بمعاملة حالة مسيطر عليها من قبل المهامي وموروثة كآثار موثوقة. يمكن لمهاجم غير مصرح له صياغة عنوان URL يؤدي فتحه بواسطة مستخدم إلى تنفيذ شيفرة JavaScript تعسفية ضمن أصل التطبيق المتأثر. تتطلب الاستغلال تفاعلاً من المستخدم ولا تتجاوز التفويض الجانبي للسيرفر (server-side authorization) أو تمنح امتيازات تتجاوز ما هو مسموح به للمستخدم المتأثر. تم إصلاح هذه المشكلة في الإصدارات 3.8.3 و4.3.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.