CVE-2026-81887 in Livewire
Zusammenfassung
von VulDB • 31.08.2026
Livewire ist ein Full-Stack-Framework für Laravel. Von der Version 3.0.0-beta.1 bis hin zu den Versionen 3.8.3 und 4.3.4 akzeptiert der punktnotierte Query-String-Parser in js/plugins/history/index.js, einschließlich der Funktionen fromQueryString() und insertDotNotatedValueIntoData(), die Pfadsegmente __proto__, constructor und prototype sowie vererbte Objekte. Clientseitige State-Handler greifen dann auf effects.html, effects.js, effects.xjs und effects.scripts zu, ohne Object.prototype.hasOwnProperty.call() zu verwenden, wodurch angreiferkontrollierte, geerbte Zustände als vertrauenswürdige Effekte behandelt werden. Ein nicht authentifizierter Angreifer kann eine URL erstellen, die bei Öffnung durch einen Benutzer beliebigen JavaScript-Code im Ursprung der betroffenen Anwendung ausführt. Die Ausnutzung erfordert die Interaktion eines Benutzers und umgeht keine serverseitige Autorisierung oder gewährt über die Berechtigungen des betroffenen Benutzers hinausgehende Privilegien. Dieses Problem wurde in den Versionen 3.8.3 und 4.3.4 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.