PT-2026-135403
CVE-2026-117518
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
@fastify/reply-from الإصدارات السابقة إلى 12.8.1
Description
يقوم هذا المكون الإضافي بتوجيه الطلبات إلى خادم HTTP خارجي (upstream). وهو يفشل في التحقق من صحة مسارات الوكيل بشكل صحيح لأنه يتحقق فقط من مقاطع النقطة التي تحتوي على شرطة مائلة أمامية (forward-slash). يقوم محلل URL WHATWG بتحويل الشرطات المائلة الخلفية (backslashes) وأشكالها المشفرة بنسبة مئوية إلى شرطات مائلة أمامية في مخططات http و https و ws و wss. وبناءً على ذلك، يمكن للمسار الذي يستخدم مقاطع نقطة بشرطة مائلة خلفية تجاوز فحوصات التخطي، مما يسمح للطلبات غير المصرح بها بالهروب من البادئات المحددة والوصول إلى نقاط نهاية خارجية غير مقصودة. يؤدي ذلك إلى تأثير على السرية وتأثير محدود على السلامة.
Recommendations
تحديث @fastify/reply-from إلى الإصدار 12.8.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾