PT-2026-47300
CVE-2026-43974
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-06-09
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات gun من 2.0.0 إلى 2.3.x
الوصف
تسمح ثغرة في الوحدة النمطية
gun http لخادم HTTP ضار بإجبار العميل على الدخول في وضع البروتوكول الخام (raw protocol mode) عن طريق إرسال استجابة 101 Switching Protocols غير مطلوبة. في الدالة handle inform/8، يتحقق البرنامج من صحة بناء جملة رأس Upgrade ومرجع الدفق، لكنه يفشل في التحقق مما إذا كان العميل قد طلب بالفعل ترقية عبر رؤوس Upgrade أو Connection: upgrade. ونتيجة لذلك، يؤدي أي استجابة 101 إلى تشغيل رسالة gun upgrade وتحويل الاتصال إلى وضع البروتوكول الخام. في هذا الوضع، يقوم gun raw بتعطيل التحكم في التدفق وإعادة تفعيل الوضع النشط للمقبس بعد كل حزمة، مما يمكّن الخادم من إغراق العميل ببايتات عشوائية. يتم إعادة توجيه هذه البايتات كرسائل gun data غير محدودة، مما قد يستنفد صندوق بريد العملية المالكة وذاكرة BEAM، مما يؤدي إلى تعطل الآلة الافتراضية.التوصيات
قم بالتحديث إلى الإصدار 2.4.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾