CVE-2026-81887

Livewire, Laravel üçün full-stack freymvorkdur. 3.0.0-beta.1 versiyasından 3.8.3 və 4.3.4 versiyalarına qədər, js/plugins/history/index.js faylındakı nöqtə ilə qeyd olunan sorğu sətri (query-string) analizçisi, o cümlədən fromQueryString() və insertDotNotatedValueIntoData() funksiyaları __proto__, constructor və prototype yol seqmentlərini qəbul edir və irsi obyektlər yaradır. Müştəri tərəfli vəziyyət idarəediciləri daha sonra Object.prototype.hasOwnProperty.call() istifadə etmədən effects.html, effects.js, effects.xjs və effects.scripts fayllarına müraciət edir ki, bu da hücumçu tərəfindən idarə olunan irsi vəziyyətin etibarlı effektlər kimi qəbul edilməsinə şərait yaradır. Autentifikasiya olunmamış hücumçu elə bir URL hazırlaya bilər ki, həmin URL istifadəçi tərəfindən açıldıqda, təsirlənmiş tətbiqin mənşəyində (origin) ixtiyari JavaScript kodunu icra edir. Eksploytasiya istifadəçi qarşılıqlılığı tələb edir və server tərəfli avtorizasiyadan yan keçmir və ya təsirlənmiş istifadəçidən daha yüksək imtiyazlar vermir. Bu problem 3.8.3 və 4.3.4 versiyalarında düzəldilmişdir.