PT-2026-28317
CVE-2026-21713
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Node.js من 20.x إلى 25.x
الوصف
يوجد عيب في عملية التحقق HMAC في Node.js، حيث يتم استخدام مقارنة لا تستغرق وقتًا ثابتًا عند التحقق من صحة التوقيعات المقدمة من المستخدم. وقد يؤدي ذلك إلى تسرب معلومات التوقيت بشكل يتناسب مع عدد البايتات المتطابقة. في ظل نماذج تهديد محددة حيث يمكن إجراء قياسات توقيت عالية الدقة، قد يتم استغلال هذا السلوك كـ«أوراكل توقيت» لاستنتاج قيم HMAC. يتضمن Node.js بالفعل عناصر مقارنة آمنة من حيث التوقيت تُستخدم في أجزاء أخرى من قاعدة الكود، مما يشير إلى أن هذا الأمر يمثل سهواً وليس خياراً تصميمياً متعمداً. تتعلق المشكلة بعملية التحقق
HMAC وإمكانية قيام المهاجم باستنتاج القيم من خلال هجمات التوقيت.التوصيات
قم بالتحديث إلى إصدار أحدث من Node.js يعالج هذه المشكلة. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾