CVE-2026-59952

Valibot sxem vasitəsilə məlumatların validasiyasına kömək edir. 1.4.2 versiyasından əvvəlki versiyalarda, validasiya problemləri hücumçu tərəfindən idarə olunan toString, valueOf və ya hasOwnProperty kimi obyekt açarlarını ehtiva etdikdə, flatten() köməkçisi daxilində TypeError baş verə bilər. Bu problem standart record() validasiyası vasitəsilə əlçatandır. record() funksiyası qəsdən __proto__, prototype və constructor elementlərini filtrləyir, lakin hələ də vərəsəlik Object.prototype xüsusiyyətləri ilə toqquşan digər öz açarlarını qəbul edir. Əgər record açar sxemi və ya dəyər sxemi belə bir girişi rədd edərsə, Valibot həmin açarı ehtiva edən problem yolu yaradır. Nəticədən yaranan problemlərin Valibot-un sənədləşdirilmiş flatten() köməkçisinə ötürülməsi flatErrors.nested[dotPath]-ın öz xəta massivi əvəzinə vərəsəlik metodla həll olunmasına səbəb olur və köməkçi həmin funksiya üzərində .push(...) çağırır. Bu, qlobal prototip çirklənməsi (prototype pollution) problemi deyil. Təsir əlçatanlıq/xətaların idarə edilməsinə yönəlib: istifadəçi tərəfindən idarə olunan obyektləri record() ilə validasiya edən və API cavabları üçün validasiya xətalarını flatten edən tətbiqlər, strukturlaşdırılmış validasiya xətaları qaytarmaq əvəzinə, sorğu yolunu TypeError ilə dayandıra bilər. Bu problem 1.4.2 versiyasında düzəldilib.