PT-2026-50515
CVE-2026-9678
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات «undici» السابقة للإصدار 7.28.0
إصدارات «undici» السابقة للإصدار 8.5.0
الوصف
يقوم معترض ذاكرة التخزين المؤقت بتصنيف بعض الاستجابات بشكل خاطئ على أنها قابلة للتخزين المؤقت عندما يحتوي رأس Cache-Control في المصدر على أسماء حقول خاصة مؤهلة أو حقول no-cache مملوءة بمسافات بيضاء، مثل
private=” authorization“ أو no-cache=”tauthorization“. ونظرًا لأن المحلل يحافظ على هذه المسافات البيضاء المحيطة، تفشل المقارنات مع اسم الحقل الحرفي authorization، مما يؤدي إلى تخزين الاستجابة. في وضع ذاكرة التخزين المؤقت المشتركة، قد يؤدي هذا إلى كشف المعلومات بين المستخدمين، حيث يتم تقديم استجابة تحتوي على بيانات مصادق عليها لمستخدم واحد من ذاكرة التخزين المؤقت إلى متصل لاحق، بما في ذلك المستخدمين غير المصادق عليهم، إذا كان كلا الطلبين يشتركان في نفس مفتاح ذاكرة التخزين المؤقت.التوصيات
الترقية إلى الإصدار 7.28.0.
الترقية إلى الإصدار 8.5.0.
قم بتعطيل وضع ذاكرة التخزين المؤقت المشتركة لحركة المرور التي تتضمن رؤوس «Authorization».
تجنب تخزين الاستجابات للطلبات التي تمت مصادقتها مؤقتًا.
أضف «Vary: Authorization» في المرحلة الأولية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾