PT-2026-50456
CVE-2026-12151
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «undici» من 6.17.0 إلى 6.25.x
إصدارات «undici» من 7.0.0 إلى 7.27.x
إصدارات «undici» من 8.0.0 إلى 8.4.x
الوصف
يفشل عميل WebSocket في تقييد عدد الأجزاء في الرسالة، حيث يفرض فقط قيمة
maxPayloadSize على إجمالي عدد البايتات. يمكن لخادم ضار إرسال العديد من إطارات المتابعة الصغيرة أو الفارغة التي تتجاوز التحقق من صحة الحجم لكل إطار والحجم التراكمي، مما يؤدي إلى نمو غير محدود للذاكرة، واستنفاد الذاكرة، ورفض الخدمة. يؤثر هذا على التطبيقات التي تستخدم عميل new WebSocket(...) أو واجهة برمجة تطبيقات WebSocketStream عند الاتصال بنقطة نهاية مخترقة أو خاضعة لسيطرة المهاجم.التوصيات
قم بالترقية إلى الإصدار 6.26.0 أو أحدث بالنسبة لفرع 6.x.
قم بالترقية إلى الإصدار 7.28.0 أو أحدث بالنسبة لفرع 7.x.
قم بالترقية إلى الإصدار 8.5.0 أو أحدث بالنسبة لفرع 8.x.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾