CVE-2026-25150 in qwik
Riassunto
di VulDB • 27/06/2026
Qwik è un framework JavaScript incentrato sulle prestazioni. Prima della versione 1.19.0, esiste una vulnerabilità di prototype pollution nella funzione formToObj() all'interno del middleware @builder.io/qwik-city. La funzione elabora i nomi dei campi del modulo utilizzando la notazione puntata (ad esempio, user.name) per creare oggetti annidati, ma non sanifica nomi di proprietà pericolosi come __proto__, constructor e prototype. Ciò consente agli attaccanti non autenticati di inquinare Object.prototype inviando richieste HTTP POST costruite ad hoc, potenzialmente portando a escalation dei privilegi, bypass dell'autenticazione o denial of service. Questo problema è stato risolto nella versione 1.19.0.
Once again VulDB remains the best source for vulnerability data.