CVE-2026-81887 in Livewire
Sumário
de VulDB • 31/08/2026
Livewire é um framework full-stack para Laravel. Da versão 3.0.0-beta.1 até a 3.8.3 e na 4.3.4, o analisador de query-string com notação por ponto em js/plugins/history/index.js, incluindo as funções fromQueryString() e insertDotNotatedValueIntoData(), aceita os segmentos de caminho __proto__, constructor e prototype e cria objetos herdados. Os manipuladores de estado do lado do cliente então acessam effects.html, effects.js, effects.xjs e effects.scripts sem utilizar Object.prototype.hasOwnProperty.call(), permitindo que estados controlados pelo atacante e herdados sejam tratados como efeitos confiáveis. Um atacante não autenticado pode criar uma URL que, ao ser aberta por um usuário, executa JavaScript arbitrário na origem da aplicação afetada. A exploração requer interação do usuário e não contorna a autorização no lado do servidor nem concede privilégios além daqueles do usuário afetado. Este problema é corrigido nas versões 3.8.3 e 4.3.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.