PT-2026-135400
CVE-2026-120215
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
@fastify/cors الإصدارات من 8.2.0 إلى 11.3.x
الوصف
قد يتوقف التطبيق الذي يستخدم إضافة CORS لإطار عمل Fastify عن العمل أثناء طلب preflight CORS إذا تم تسجيل الإضافة باستخدام خيار hook
onSend غير الافتراضي. عند استلام طلب OPTIONS يحتوي على ترويسات Origin و Access-Control-Request-Method، تقوم الإضافة باستدعاء reply.send() من داخل hook onSend مما يؤدي إلى كتابة ترويسات الاستجابة مرتين. يتسبب ذلك في حدوث خطأ ERR HTTP HEADERS SENT غير معالج يمكن أن يؤدي إلى إنهاء عملية Node.js في حال عدم وجود معالج على مستوى العملية. يمكن لعميل عن بُعد غير مصرح له تحفيز هذه الحالة بطلب preflight واحد، مما يؤثر على توفر الخدمة.التوصيات
تحديث @fastify/cors إلى الإصدار 11.4.0 أو أحدث.
كإجراء مؤقت، استخدم hook آخر مثل
onRequest الافتراضي، أو قم بتعيين خيار preflight إلى false.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾