PT-2026-137109
CVE-2026-97705
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Moleculer الإصدارات السابقة لـ 0.14.36
Moleculer الإصدارات السابقة لـ 0.15.2
Description
يوجد خلل في ناقل TCP حيث تستخدم الدالة
Parser. write في src/transporters/tcp/parser.js الدالة Buffer.prototype.readInt32BE لقراءة طول حزمة موقعة. يمكن لنظير عن بعد غير مصرح له تقديم قيمة سالبة، مما يؤدي إلى قيام packet.slice(length) بإرجاع المخزن المؤقت الأصلي. يؤدي ذلك إلى حلقة while (packet.length > 0) لا نهائية تعطل حلقة أحداث Node.js، مما يجعل جميع الخدمات في العملية غير مستجيبة حتى يتم إعادة التشغيل. يحدث هذا عندما يكون ناقل TCP مفعلاً ويمكن الوصول إليه، حيث لا تمنع عملية التحقق من CRC أو maxPacketSize قيمة الطول المشوهة.Recommendations
التحديث إلى الإصدار 0.14.36.
التحديث إلى الإصدار 0.15.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾