CVE-2026-33993
Təsvir
Locutus təhsil məqsədilə digər proqramlaşdırma dillərinin standart kitabxanalarını JavaScript-ə gətirir. Versiya 3.0.25-dən əvvəl `locutus/php/var/unserialize` daxilindəki `unserialize()` funksiyası, `__proto__` açarını filtrləmədən, deserializasiya edilmiş açarları mötərizə notasiyası vasitəsilə adi obyektlərə təyin edir. PHP serializasiya edilmiş faylda (payload) `__proto__` massiv və ya obyekt açarı kimi yer aldıqda, JavaScript-in `__proto__` setteri çağırılır və deserializasiya edilmiş obyektin prototipi hücumçunun idarə etdiyi məzmunla əvəzlənir. Bu, xüsusiyyətlərin inyeksiyasına, inyeksiya edilmiş xüsusiyyətlərin for...in vasitəsilə yayılmasına və daxili metodların override edilməsi yolu ilə xidmətdən imtinaya şərait yaradır. Bu, daha əvvəl `parse_str` funksiyasında bildirilmiş prototip çirklənməsindən (prototype pollution) (GHSA-f98m-q3hr-p5wq, GHSA-rxrv-835q-v5mh) fərqlidir — `unserialize` heç bir tədbir tətbiq olunmamış fərqli bir funksiyadır. Versiya 3.0.25 bu problemi aradan qaldırır.
Necə düzəltmək olar
- locutus locutus3.0.25 və ya daha yeni versiya
- locutus3.0.25 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| locutus locutus | v < 3.0.25 | 3.0.25 |
| locutusnpm | v < 3.0.25 | 3.0.25 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.