PT-2026-22104
CVE-2026-27959
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-09-11
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Koa الأقدم من 3.1.2
إصدارات Koa الأقدم من 2.16.4
الوصف
تحتوي البرمجية الوسيطة Koa لـ Node.js، التي تستخدم وظائف ES2017 غير المتزامنة، على مشكلة تتمثل في أن واجهة برمجة التطبيقات (API)
ctx.hostname تقوم بتحليل رأس HTTP Host بشكل غير صحيح. لا يتحقق التحليل من صحة المدخلات وفقًا لقواعد صياغة اسم المضيف RFC 3986، ويفشل على وجه التحديد في التعامل بشكل صحيح مع علامة النقطتين. قد يؤدي وجود رأس Host غير صحيح يحتوي على الرمز @ إلى قيام ctx.hostname بإرجاع قيمة يتحكم فيها المهاجم، مثل evil[.]com. التطبيقات التي تستخدم ctx.hostname لتوليد عناوين URL، أو روابط إعادة تعيين كلمة المرور، أو عناوين URL للتحقق من البريد الإلكتروني، أو قرارات التوجيه، تكون عرضة لهجمات حقن رأس Host. نقطة نهاية واجهة برمجة التطبيقات ctx.hostname معرضة للخطر. رأس Host هو معلمة معرضة للخطر.التوصيات
قم بالتحديث إلى الإصدار 3.1.2 أو أحدث من Koa.
قم بالتحديث إلى الإصدار 2.16.4 أو أحدث من Koa.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾