Zelys-Dfkh

تسمح الدالة `makeCookie()` باستخدام فاصلة منقوطة في حقول `name` و `domain` و `path` والتي تقوم الدالة `serializeCookie()` بكتابتها حرفياً في ترويسات Set-Cookie. إذا تمكن المهاجم من التحكم في هذه القيم، فيمكنه إلحاق سمات ملفات تعريف الارتباط، مثل `Domain` أوسع، أو `SameSite=None` أو `Max-Age`. يمكن أن يؤدي ذلك إلى توسيع نطاق ملف تعريف الارتباط أو إضافة سمات لم تكن محددة في الأصل.

The library fails to properly validate the `domain` and `path` options, checking them against a permissive RFC 7230 field-content matcher that allows semicolons. Because these values are written into the Set-Cookie header unescaped, an application passing untrusted or request-derived data into these options allows for Set-Cookie attribute injection. This can enable an attacker to override attributes such as `SameSite`, `Secure`, `HttpOnly`, or `Domain` on issued cookies.

تفشل الدالة `setCookie()` في تنقية سمات ملفات تعريف الارتباط بشكل كامل. وعلى وجه التحديد، لا يتم فحص قيمة المجال بحثًا عن الفاصلة المنقوطة، ولا يتم تنقية العناصر الموجودة في المصفوفة غير المُحللة. وهذا يسمح للمدخلات التي يتلاعب بها المهاجمون بإدخال سمات إضافية لملفات تعريف الارتباط. على سبيل المثال، يمكن لقيمة المجال التي تحتوي على فاصلة منقوطة أن تضيف سمات مثل `SameSite`، ويمكن لعنصر غير مُحلل أن يُدخل سمات مثل `HttpOnly` دون قصد من جانب المستدعي. قد تتعرض التطبيقات التي تمرر مدخلات يتحكم فيها المستخدم إلى هذه الحقول — مثل خوادم البروكسي العكسي أو الخوادم متعددة المستأجرين التي تحدد نطاق ملفات تعريف الارتباط للجلسة بنطاقات يحددها المستأجر — لتجاوز إجراءات الحماية من هجمات CSRF الخاصة بـ SameSite، أو قد تتعرض سمات `Secure` و`HttpOnly` و`SameSite` إلى الفرض أو الحذف أو التجاوز.