PT-2026-28318
CVE-2026-21714
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Node.js من 20 إلى 25
الوصف
قد يحدث تسرب في الذاكرة في خوادم Node.js HTTP/2 عندما يرسل العميل إطارات WINDOW UPDATE على الدفق 0 (على مستوى الاتصال)، مما يؤدي إلى تجاوز نافذة التحكم في التدفق للقيمة القصوى 2³¹-1. يرسل الخادم إطار GOAWAY، لكن كائن
Http2Session لا يتم تنظيفه بشكل صحيح. ترتبط إطارات WINDOW UPDATE بآلية التحكم في التدفق في بروتوكول HTTP/2، والتي تدير كمية البيانات التي يمكن للمرسل إرسالها قبل تلقي إقرار بالاستلام من المستلم. يمكن أن يؤدي تجاوز القيمة القصوى لنافذة التحكم في التدفق إلى استنفاد الموارد واحتمال حدوث حالات رفض الخدمة.التوصيات
قم بالتحديث إلى إصدار أحدث من Node.js يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾