CVE-2026-25150: Poluição de Protótipo no Middleware formToObj() do qwik-city (Qwik)
A CVE-2026-25150 é uma falha de poluição de protótipo (CWE-1321) na função formToObj() do middleware @builder.io/qwik-city, em versões do Qwik anteriores à 1.19.0. Segundo o registro, atacantes não autenticados podem explorá-la por meio de requisições HTTP POST elaboradas, com possíveis efeitos como escalonamento de privilégios, bypass de autenticação ou negação de serviço. A correção está disponível na 1.19.0, e o registro não a lista no catálogo KEV da CISA.
Visão geral
O Qwik é um framework JavaScript focado em desempenho. Segundo o registro, versões anteriores à 1.19.0 do middleware @builder.io/qwik-city contêm uma falha de poluição de protótipo (CWE-1321) na função formToObj(). A função monta objetos aninhados a partir de nomes de campos de formulário escritos com notação de ponto, mas não filtra nomes de propriedades perigosos como __proto__, constructor e prototype.
Impacto
- Segundo o registro, um atacante remoto não autenticado pode conseguir modificar Object.prototype enviando requisições HTTP POST elaboradas.
- O registro lista como possíveis consequências o escalonamento de privilégios, o bypass de autenticação e a negação de serviço.
- A NVD atribui nota 10.0 (Crítica) com CVSS 3.1 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. O GitHub atribui 9.3 com CVSS 3.1.
Produtos e versões afetadas
- O registro indica o produto Qwik, em versões anteriores à 1.19.0.
- O registro identifica a 1.19.0 como a versão corrigida.
- Não é possível determinar, a partir do registro, se outros pacotes do ecossistema Qwik são afetados.
Status de exploração
O registro mostra que a CVE-2026-25150 não está listada no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro não contém dados do EPSS.
Correção e mitigação
- Atualize o framework Qwik, incluindo o middleware qwik-city, para a versão 1.19.0 ou superior.
- Revise o commit de correção referenciado no registro para entender a mudança.
- Se a atualização imediata não for possível, o registro não descreve uma solução paliativa validada, portanto qualquer mitigação provisória é desconhecida e deve ser confirmada com o fornecedor.
- Faça o inventário das aplicações que usam o tratamento de formulários do Qwik City para priorizar as atualizações.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições POST cujos nomes de campos contenham segmentos em notação de ponto como __proto__, constructor ou prototype.
- Monitore comportamentos inesperados da aplicação, como propriedades padrão de objetos alteradas ou anomalias de autorização.
- Estes são indicadores de alto nível. O registro não fornece assinaturas de detecção.
Limitações das informações disponíveis
- O registro não inclui o texto completo do aviso nem detalhes sobre exploração.
- As notas CVSS da NVD (10.0) e do GitHub (9.3) divergem, e o registro não define qual delas se aplica.
- Se uma aplicação específica é alcançável depende do uso de formToObj(). Isto é uma inferência, não um fato confirmado.
Perguntas frequentes
Quais versões do Qwik são afetadas pela CVE-2026-25150?
Segundo o registro, as versões anteriores à 1.19.0 são afetadas, e a 1.19.0 é a versão corrigida.
A CVE-2026-25150 está sendo explorada ativamente?
O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Identifique as aplicações que usam o framework Qwik e o middleware qwik-city e atualize para a versão 1.19.0 ou superior. O registro não descreve uma solução paliativa verificada para sistemas que não podem ser atualizados imediatamente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.