CVE-2026-117499

اسم البرنامج المصاب والإصدارات المتأثرة @fastify/session الإصدارات السابقة لـ 11.1.6

Description مع سلوك الجلسة المتداول الافتراضي، يمكن لطلب يقوم باستعادة جلسة قبل تسجيل الخروج أن يحفظ نسخته الخاصة بعد أن يكون طلب آخر قد أكمل استدعاء تدمير الجلسة. يؤدي ذلك إلى إعادة إنشاء معرف الجلسة المدمر مع بيانات المصادقة الخاصة به. يمكن للمهاجم الذي يمتلك ملف تعريف ارتباط (cookie) موقعًا وصالحًا للجلسة الخاصة بالضحية أن يبقي طلبًا قيد التنفيذ أثناء تسجيل الخروج، ثم يعيد إرسال ملف تعريف الارتباط هذا لاستعادة الجلسة بعد أن كان من المفترض إلغاؤها، وذلك دون الحاجة إلى سرقة ملفات تعريف الارتباط أو تزوير التوقيع.

Recommendations التحديث إلى الإصدار 11.1.6 أو أحدث. يجب أن تقوم مخازن الجلسات المخصصة بتنفيذ عملية الكتابة الشرطية الجديدة.