CVE-2026-49860

إصدارات Deno الأقدم من 2.8.1

عند فتح اتصال WebSocket، يقوم بيئة التشغيل بالتحقق من صحة اسم المضيف الوجهة وفقًا لقواعد --deny-net، لكنه يفشل في إعادة التحقق من عناوين IP التي يُحل إليها اسم المضيف. وهذا يسمح لبرنامج نصي يتحكم فيه المهاجم باستخدام اسم نطاق مصمم خصيصًا يجتاز فحص اسم المضيف ولكنه يُحل إلى عنوان IP مرفوض، متجاوزًا قواعد عزل الشبكة. وقد يؤدي ذلك إلى اتصالات غير مصرح بها بمضيفات كان المستخدم ينوي حظرها، مثل localhost أو الخدمات الداخلية، ربما عبر تابع خبيث أو تم اختراقه.

قم بالتحديث إلى الإصدار 2.8.1.

تجنب منح --allow-net لرمز غير موثوق به يعتمد على قيود --deny-net لأغراض الأمان إذا لم يكن التحديث الفوري ممكنًا.