CVE-2026-106448

StableLib faydalı TypeScript və JavaScript kodlarından ibarət sabit kitabxanadır. 2.0.4 versiyasından əvvəl, @stablelib/cbor CBOR xəritə dekodlaşdırma yolu adi JavaScript obyektləri yaradır və hücum edən tərəfindən idarə olunan açarları mötərizə təyinatı ilə təyin edir. __proto__ adlı xəritə açarı, adi öz xüsusiyyətini yaratmaq əvəzinə vərəsəlik prototip settery-ni çağırır ki, bu da dekodlaşdırılmış obyektin prototipinin hücum edən tərəfindən idarə olunan avtorizasiya və ya funksiya bayrağı (feature-flag) dəyərlərini ehtiva etməsinə şərait yaradır. Normal xüsusiyyət axtarışına güvənən və ya dekodlaşdırılmış obyekti birləşdirən aşağı axın kodu, beləliklə, vərəsəlik hücum məlumatlarından istifadə edərək təhlükəsizlik baxımından həssas qərarlar verə bilər. Bu problem 2.0.4 versiyasında düzəldilmişdir.