PT-2026-48685
CVE-2026-48022
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @hapi/wreck الأقدم من 18.1.2
الوصف
تفشل أداة عميل HTTP هذه في التحقق من صحة مصادر الطلبات بشكل صحيح أثناء عمليات إعادة التوجيه عبر المصادر. ففي حين أنها تزيل رؤوس بيانات الاعتماد مثل
Authorization وCookie وProxy-Authorization، فإن عملية التحقق من المصدر تقتصر على مقارنة أسماء المضيفين وتتجاهل نظام البروتوكول والمنفذ. ونتيجة لذلك، يتم إعادة توجيه بيانات الاعتماد أثناء تغييرات المنفذ على نفس المضيف وعمليات التخفيض من HTTPS إلى HTTP. وهذا يسمح لمستأجر مشترك على منفذ مجاور أو لمهاجم في موقع الشبكة قادر على تزوير عملية إعادة التوجيه بالاستيلاء على رموز الحامل وملفات تعريف الارتباط للجلسة وبيانات اعتماد الوكيل لانتحال شخصية الضحية أمام الخدمة الأعلى.التوصيات
قم بالتحديث إلى الإصدار 18.1.2 أو أحدث.
اضبط
redirects: 0 وقم بمعالجة عمليات إعادة التوجيه يدويًّا مع إجراء فحص صارم للمصدر.استخدم ربط
beforeRedirect لفحص وجهة إعادة التوجيه وإلغاء أو إزالة الرؤوس الحساسة قبل الطلب التالي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾