CVE-2026-81887 in Livewire
요약
\~에 의해 VulDB • 2026. 08. 31.
Livewire는 Laravel용 풀스택 프레임워크입니다. 버전 3.0.0-beta.1부터 3.8.3 및 4.3.4까지, js/plugins/history/index.js의 dot-notated query-string parser(특히 fromQueryString() 및 insertDotNotatedValueIntoData())는 __proto__, constructor, prototype 경로 세그먼트를 허용하여 상속된 객체를 생성합니다. 클라이언트 측 상태 핸들러는 Object.prototype.hasOwnProperty.call() 없이 effects.html, effects.js, effects.xjs, effects.scripts에 접근하므로, 공격자가 제어할 수 있는 inherited state가 신뢰할 수 있는 효과(effects)로 처리됩니다. 인증되지 않은 공격자는 사용자에게 열게 되면 영향 받는 애플리케이션의 오리진에서 임의 JavaScript를 실행하는 URL을 작성할 수 있습니다. 악용에는 사용자 상호작용이 필요하며, 서버 측 권한 부여를 우회하거나 해당 사용자 이상의 특권을 얻지는 않습니다. 이 문제는 버전 3.8.3 및 4.3.4에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.