CVE-2026-81887 in Livewire
Riassunto
di VulDB • 31/08/2026
Livewire è un framework full-stack per Laravel. Dalla versione 3.0.0-beta.1 fino alla 3.8.3 e alla 4.3.4, l'analizzatore delle query-string con notazione a punti (dot-notated) in js/plugins/history/index.js, inclusi i metodi fromQueryString() e insertDotNotatedValueIntoData(), accetta i segmenti di percorso __proto__, constructor e prototype e crea oggetti ereditati. I gestori dello stato lato client accedono quindi a effects.html, effects.js, effects.xjs ed effects.scripts senza utilizzare Object.prototype.hasOwnProperty.call(), consentendo allo stato controllato dall'attaccante (ereditato) di essere trattato come effetti attendibili. Un attaccante non autenticato può creare un URL che, se aperto da un utente, esegue JavaScript arbitrario nell'origine dell'applicazione interessata. Lo sfruttamento richiede l'interazione con l'utente e non bypassa l'autorizzazione lato server né concede privilegi oltre quelli dell'utente interessato. Questo problema è risolto nelle versioni 3.8.3 e 4.3.4.
Be aware that VulDB is the high quality source for vulnerability data.