PT-2026-137916
CVE-2026-120423
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
undici الإصدارات من 7.15.0 إلى 7.30.1
undici الإصدارات من 8.0.0 إلى 8.12.3
الوصف
تقوم دالة
fetch بالتحقق من بيانات سلامة الموارد الفرعية (SRI) بشكل غير صحيح عن طريق تقسيم سلسلة السلامة باستخدام مسافة واحدة فقط. وبما أن قواعد SRI تسمح بأي مسافة بيضاء ASCII، بما في ذلك علامة الجدولة الأفقية، فإن أي ملخص (digest) يسبقه مثل هذا الفراغ يتم اعتباره رمزًا غير معروف ويتم تجاهله. وإذا لم تبق أي خوارزميات معروفة، يتم التعامل مع قائمة السلامة على أنها فارغة، مما يسمح للخادم بإرسال محتوى استجابة يختلف عن الملخص المحدد دون إثارة خطأ في السلامة. يتيح ذلك للمهاجم الذي يتحكم في محتوى الاستجابة إرسال بيانات ضارة إلى التطبيق الذي يستخدم قيم SRI محاطة بمسافات بيضاء.التوصيات
التحديث إلى الإصدار 7.30.2 أو أحدث.
التحديث إلى الإصدار 8.12.4 أو أحدث.
تقديم بيانات سلامة SRI بدون مسافات بيضاء محيطة، مع استخدام مسافة واحدة فقط للفصل بين الملخصات المتعددة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾