CVE-2026-43972

إصدارات ninenines gun من 2.0.0 إلى 2.3.x

يسمح خطأ في التحقق من مصدر الوحدة النمطية gun http2 بإدخال ملفات تعريف الارتباط عبر مصادر مختلفة من خلال سلطة PUSH PROMISE في HTTP/2 لم يتم التحقق من صحتها. في الدالة push promise frame()، يتم تخزين الرأس الزائف :authority من إطار PUSH PROMISE الوارد في سجل الدفق الموعود دون التحقق من مطابقته لمصدر الاتصال. بعد ذلك، تستدعي الدالة headers frame() الدالة set cookie header() باستخدام هذه الصلاحية غير المصادق عليها. ينتهك هذا السلوك معايير البروتوكول التي تتطلب من المستلمين التعامل مع عمليات الدفع للموارد التي لا يمتلك الخادم سلطة عليها على أنها أخطاء في البروتوكول. يمكن لخادم HTTP/2 ضار أو مخترق استغلال ذلك لزرع ملفات تعريف الارتباط لنطاقات طرف ثالث عشوائية في مخزن ملفات تعريف الارتباط المشترك للعميل، مما قد يؤدي إلى تثبيت الجلسة أو الاستيلاء على الحساب. يمكن استغلال هذه الثغرة عندما يتم تكوين البرنامج باستخدام cookie store ويتصل بخادم HTTP/2 مع تمكين ميزة الدفع من الخادم.

قم بالتحديث إلى الإصدار 2.4.0 أو أحدث.

كإجراء تخفيفي مؤقت، تجنب الاتصال بخوادم HTTP/2 التي تم تمكين ميزة ”دفع الخادم“ (server push) عليها أو قم بتعطيل إعداد cookie store.