PT-2026-144407
CVE-2026-125332
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Forge الإصدارات السابقة لـ 1.4.3
الوصف
يقبل عميل
forge.tls طريقة ضغط compression method في رسالة ServerHello لم يطلبها. عندما يتعامل العميل مع ServerHelloDone، تقوم الدالة tls.createConnectionState() برفض خوارزمية الضغط غير المدعومة عن طريق إلقاء خطأ (Error) ينتقل من connection.process(). يمكن لخادم خبيث أو مهاجم في المسار (on-path) تعديل بايت الضغط في رسالة ServerHello غير الموثقة قبل رسالة Finished الخاصة بالخادم لإنهاء عملية Node.js إذا لم يقم التطبيق بالتقاط الاستثناء. تشمل مسارات العميل المتأثرة الاستخدام المباشر لـ forge.tls و forge.tls.wrapSocket و forge.http. لا يؤثر هذا الخلل على السرية أو السلامة، كما أن خوادم forge.tls غير متأثرة.التوصيات
تحديث Forge إلى الإصدار 1.4.3.
كإجراء مؤقت، قم بالتقاط الاستثناءات التي تطلقها
connection.process() وإغلاق المقبس (socket). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾