PT-2026-50499 · Npm+1 · Undici+1
CVSS v3.1
3.7
منخفضة
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «undici» من 5.15.0 إلى 6.25.x
إصدارات «undici» من 7.0.0 إلى 7.27.x
إصدارات «undici» من 8.0.0 إلى 8.4.x
الوصف
عند تحليل رأس Set-Cookie، يقبل البرنامج أي قيمة لسمة SameSite تحتوي على Strict أو Lax أو None كسلسلة فرعية بدلاً من اشتراط تطابق تام غير حساس لحالة الأحرف كما هو محدد في RFC 6265. وهذا يسمح بتعيين القيم غير المطابقة للمواصفات إلى الرموز القياسية دون إشعار؛ على سبيل المثال، يتم تحليل SameSite=NoneOfYourBusiness على أنه None، ويتم تحليل SameSite=StrictLax على أنه Lax. يمكن لخادم ضار أو غير متوافق إجبار التطبيقات التي تستخدم رؤوس Set-Cookie عبر مسارات كود fetch أو الوكيل، وتعتمد على السمة
sameSite التي تم تحليلها، على تطبيق سياسة SameSite أضعف، مما يؤدي إلى إضعاف تطبيق ملفات تعريف الارتباط المقصود.التوصيات
قم بالترقية إلى الإصدار 6.26.0.
قم بالترقية إلى الإصدار 7.28.0.
قم بالترقية إلى الإصدار 8.5.0.
كحل مؤقت، تحقق من أن السمة
sameSite الناتجة هي بالضبط ’Strict‘ أو ’Lax‘ أو ’None‘ (بغض النظر عن حالة الأحرف) بعد تحليل رأس Set-Cookie وقبل الاعتماد عليه.استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Rocky Linux
Undici