PT-2026-26193
CVE-2026-33129
·
تاريخ النشر
2026-03-18
·
تاريخ التحديث
2026-03-22
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات H3 من 2.0.1-beta.0 حتى 2.0.0-rc.8
الوصف
H3 هو إطار عمل بسيط لـ H(TTP). توجد ثغرة في قناة جانبية للتوقيت (Timing Side-Channel) في الدالة
requireBasicAuth بسبب استخدام مقارنة غير آمنة للسلاسل (!==). وهذا يسمح للمهاجم باستنتاج كلمة المرور الصحيحة حرفًا حرفًا من خلال قياس وقت استجابة الخادم، متجاوزًا بذلك إجراءات الحماية المتعلقة بتعقيد كلمة المرور. يقوم الكود بإجراء مقارنة بين كلمة المرور المقدمة وكلمة المرور المتوقعة. وقد تم تحسين عامل !== ليعمل وفق مبدأ ”الفشل السريع“، حيث يعيد القيمة false فور اكتشاف عدم تطابق. من خلال تحليل الاختلافات الزمنية في الاستجابات للطلبات التي تحتوي على كلمات مرور تختلف قليلاً، يمكن للمهاجم تحديد كلمة المرور الصحيحة حرفًا حرفًا. ويكون هذا فعالاً في الشبكات المحلية أو البيئات السحابية حيث يتواجد المهاجم في نفس الموقع. يمكن استغلال هذه الثغرة أمنية عن بُعد. الدالة المعرضة للخطر هي requireBasicAuth.التوصيات
قم بالتحديث إلى الإصدار 2.0.1-rc.9 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾