CVE-2026-48819
Təsvir
Hey API API spesifikasiyalarını istehsala hazır koda çevirmək üçün ekosistemdir. 0.97.3 versiyasından əvvəl dist/clients/core/params.ts, generasiya olunmuş SDK-lara params.gen.ts kimi köçürülən runtime şablonu ehtiva edir və buildClientParams $body_, $headers_, $path_ və $query_ kimi naməlum slot-prefiksli açarları birbaşa uyğun slota yazır, bu da legitim q sahəsi ilə yanaşı $query___proto__ açarının params.query-ni params["query"]["__proto__"] = value vasitəsilə təyin etməsinə, Object.setPrototypeOf(params.query, value) çağırışına və for..in iterasiyası zamanı miras alınmış hücumçu tərəfindən idarə olunan açarların aşkarlanmasına imkan verir. Bu problem 0.97.3 versiyasında düzəldilib.
Necə düzəltmək olar
- @hey-api/openapi-ts0.97.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @hey-api/openapi-tsnpm | v < 0.97.3 | 0.97.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.