PT-2026-135397
CVE-2026-117549
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
4.2
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
@fastify/secure-session الإصدارات من 7.5.0 إلى 8.4.1
الوصف
عند تكوين المكون الإضافي بخيار ملف تعريف الارتباط الموقع، فإنه يفشل في إيقاف المعالجة عندما يبلغ فحص التوقيع عن قيمة غير صالحة. بدلاً من ذلك، يقوم بتمرير قيمة ملف تعريف الارتباط الأصلية إلى فك ترميز الجلسة، مما يسمح بفك تشفير جلسة ذات توقيع غير صالح. يحدث هذا إذا كان التطبيق يستخدم سر توقيع ملف تعريف الارتباط بشكل مستقل عن مفتاح تشفير الجلسة ويقوم بتدوير سر التوقيع فقط. يمكن للمهاجم الذي يمتلك ملف تعريف ارتباط جلسة مشفرًا وغير منتهي الصلاحية إزالة التوقيع القديم للاستمرار في استخدام الجلسة. لا يمكن للمهاجم تزوير بيانات الجلسة أو تمديد انتهاء الصلاحية أو تجاوز تدوير مفتاح التشفير.
التوصيات
التحديث إلى الإصدار 8.4.2 أو أحدث.
قم بتدوير مفتاح تشفير الجلسة بدلاً من الاعتماد فقط على تدوير سر توقيع ملف تعريف الارتباط.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾