CVE-2026-49859

إصدارات Deno الأقدم من 2.8.1

عند استدعاء الدالة fetch()، يقوم بيئة التشغيل بالتحقق من صحة اسم المضيف الوجهة وفقًا لقواعد --deny-net، لكنه يفشل في إعادة التحقق من عناوين IP التي يُحل إليها اسم المضيف. وهذا يسمح لبرنامج نصي يتحكم فيه المهاجم باستخدام اسم نطاق مصمم خصيصًا يجتاز الفحص الأولي لاسم المضيف ولكنه يُحل إلى عنوان IP مرفوض، مما يؤدي فعليًّا إلى تجاوز قواعد عزل الشبكة. وقد يؤدي ذلك إلى وصول غير مصرح به إلى المضيفات المحظورة، مثل localhost أو الخدمات الداخلية، خاصةً عند تشغيل كود غير موثوق به أو كود تابع لجهة خارجية.

قم بالتحديث إلى الإصدار 2.8.1.

كإجراء تخفيفي مؤقت، تجنب منح --allow-net لرمز غير موثوق به يعتمد على قيود --deny-net لأغراض الأمان.