PT-2026-115120
CVE-2026-109841
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
undici الإصدارات 7.15.0 through 7.30.0
undici الإصدارات 8.0.0 through 8.12.1
Description
تقوم عملية تنفيذ
fetch() في مكتبة عميل HTTP لـ Node.js بالتحقق من بيانات Subresource Integrity (SRI) الوصفية بشكل غير صحيح. تقوم المكتبة بمطابقة رمز الخوارزمية مع مجموعة من الأحرف الصغيرة فقط، مما يؤدي إلى اعتبار الرموز الصالحة المكتوبة بأحرف كبيرة أو مختلطة (مثل SHA256) غير معروفة وتجاهلها. عندما لا تتبقى خوارزميات معروفة، تعامل المكتبة قائمة النزاهة على أنها فارغة وتقبل الاستجابة بغض النظر عما إذا كان الجسم يطابق الملخص المثبت. يتيح ذلك للمهاجم الذي يتحكم في جسم الاستجابة تقديم بايتات خبيثة إلى تطبيق يستخدم رموز SRI غير مكتوبة بأحرف صغيرة دون حدوث خطأ في النزاهة.Recommendations
التحديث إلى الإصدار 7.30.1 أو أحدث.
التحديث إلى الإصدار 8.12.2 أو أحدث.
كإجراء مؤقت، استخدم رموز خوارزميات بأحرف صغيرة مثل
sha256 أو sha384 أو sha512 في بيانات النزاهة الوصفية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾