CVE-2026-81887

Livewire, Laravel için geliştirilmiş bir full-stack framework'tür. 3.0.0-beta.1 ile 3.8.3 ve 4.3.4 arasındaki sürümlerde, js/plugins/history/index.js dosyasındaki fromQueryString() ve insertDotNotatedValueIntoData() dahil olmak üzere nokta notasyonlu sorgu dizesi ayrıştırıcısı; __proto__, constructor ve prototype yol bölümlerini kabul ederek kalıtımlı nesneler oluşturur. İstemci tarafındaki durum işleyicileri daha sonra effects.html, effects.js, effects.xjs ve effects.scripts dosyalarına Object.prototype.hasOwnProperty.call() kullanmadan erişir; bu durum, saldırgan tarafından kontrol edilen kalıtımlı durumun güvenilir efektler olarak değerlendirilmesine olanak tanır. Kimliği doğrulanmamış bir saldırgan, bir kullanıcı tarafından açıldığında etkilenen uygulamanın kökeninde rastgele JavaScript çalıştıran özel bir URL oluşturabilir. İstismar işlemi kullanıcı etkileşimi gerektirir; sunucu tarafındaki yetkilendirmayı atlamaz veya etkilenen kullanıcıdan daha fazla ayrıcalık tanımaz. Bu sorun 3.8.3 ve 4.3.4 sürümlerinde düzeltilmiştir.