CVE-2026-26275

httpsig-hyper الإصدارات الأقدم من 0.0.23

تحتوي مكتبة httpsig-hyper على مشكلة قد تؤدي إلى إتمام التحقق من رأس Digest بشكل غير صحيح بسبب الاستخدام الخاطئ لماكرو matches! في لغة Rust. كانت المقارنة if matches!(digest, expected digest) تعامل expected digest على أنه مطابقة نمطية بدلاً من مقارنة قيمية، مما يؤدي إلى نتيجة إيجابية خاطئة في التحقق من Digest. وقد يؤدي ذلك إلى عدم تمكن التطبيقات من اكتشاف التعديلات في نصوص الرسائل عند الاعتماد على التحقق من Digest كجزء من التحقق من صحة توقيع رسالة HTTP. تعتمد خطورة هذه المشكلة على كيفية دمج المكتبة وما إذا كانت هناك طبقات إضافية من التحقق من صحة التوقيع مطبقة. يعمل التصحيح على استبدال الاستخدام الخاطئ لـ matches! بمقارنة قيمة مناسبة، ويقدم مقارنة في وقت ثابت للتحقق من الموجز.

قم بالتحديث إلى الإصدار 0.0.23 أو أحدث من httpsig-hyper.

إذا لم يكن التحديث الفوري ممكنًا، فتجنب الاعتماد حصريًّا على التحقق من الـ Digest لضمان سلامة الرسالة، وتأكد من تطبيق التحقق الكامل من توقيع رسالة HTTP في طبقة التطبيق.