PT-2026-25067
CVE-2026-2581
·
تاريخ النشر
2026-03-12
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Undici السابقة للإصدار 7.24.0
الوصف
هذه مشكلة تتعلق باستهلاك الموارد غير المنضبط والتي قد تؤدي إلى هجوم رفض الخدمة (DoS). عند تمكين الدالة
interceptors.deduplicate() في الإصدارات المعرضة للخطر، قد تتراكم بيانات الاستجابة للطلبات التي تمت إزالة التكرار منها في الذاكرة الخاصة بمعالجات البيانات النهائية. ويمكن لنقطة نهاية أولية غير موثوق بها أو خاضعة لسيطرة المهاجم استغلال هذه الثغرة باستخدام استجابات كبيرة أو مقسمة إلى أجزاء وطلبات متطابقة متزامنة، مما يتسبب في ارتفاع استهلاك الذاكرة واحتمال إنهاء العملية بسبب نفاد الذاكرة (OOM). المستخدمون المتأثرون هم التطبيقات التي تستخدم مانع التكرار الخاص بـ Undici مع نقاط النهاية التي قد تنتج نصوص استجابة كبيرة الحجم أو طويلة الأمد. يتم معالجة المشكلة عن طريق تغيير سلوك إزالة التكرار بحيث يتم دفق أجزاء الاستجابة إلى المعالجات النهائية فور وصولها، بدلاً من تراكم النص الكامل، ومنع إزالة التكرار المتأخرة عندما يكون دفق النص قد بدأ بالفعل.التوصيات
قم بالترقية إلى إصدار Undici 7.24.0 أو أحدث.
قم بتعطيل الدالة
interceptors.deduplicate() للعملاء أو المسارات المتأثرة.استخدم
skipHeaderNames مع رأس علامة لإجبار الطلبات عالية المخاطر على تجاوز عملية إزالة التكرار.تجنب الطلبات المتطابقة المتزامنة إلى نقاط النهاية غير الموثوق بها التي قد تُرجع نصوص استجابة كبيرة جدًا أو مقسمة إلى أجزاء.
قم بتطبيق حدود لحجم الاستجابة ووقت الانتظار في المرحلة الأولية أو عبر الوكيل.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾