CVE-2026-84368 in joi
الملخص
بحسب VulDB • 01/09/2026
joi هي لغة وصف المخططات وأداة التحقق من صحة البيانات لـ JavaScript. بدءًا من الإصدار 16.0.0 وحتى 17.13.6 و18.2.5، يحتوي حزمة @hapi/joi حتى الإصدار 17.1.1 والحزمة اللاحقة joi على ثغرة تلويث الكائنات الأولية (Prototype Pollution) في lib/messages.js، حيث تعيد دالتا exports.compile() وexports.merge استخدام كائنات موروثة لمفاتيح لغة يتحكم فيها المهاجم والمُزودة عبر messages(), message(), prefs({ messages }), Joi.extend({ messages })، أو rule({ message }). يؤدي مفتاح اللغة المسمى __proto__ إلى كتابة خصائص على Object.prototype، بينما يكتب constructor في الخصائص الثابتة لدالة Object. يمكن لتطبيق مستهلك يعتمد على وجود خاصية موروثة أن يسلك المسار الخاطئ لكل كائن يتم فحصه. لا يمكن الوصول إلى هذا العيب من البيانات التي يتحقق منها joi ويتطلب من التطبيق تغذية مدخلات غير موثوقة مباشرة في تكوين بناء المخطط (schema-construction configuration). تم إصلاح هذه المشكلة في إصدارات joi 17.13.6 و18.2.5؛ ولا تتوفر حزمة @hapi/joi مثبتة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.