CVE-2026-55602

إصدارات http-proxy-middleware من 0.16.0 إلى 2.0.9

إصدارات http-proxy-middleware من 3.0.0 إلى 3.0.5

إصدارات http-proxy-middleware من 4.0.0 إلى 4.0.9

توجد مشكلة في تنفيذ جدول الوكيل router حيث تستخدم محددات المضيف والمسار (host+path) مطابقة سلاسل فرعية غير مثبتة على بيانات تعريف الطلب. عندما يحتوي مفتاح جهاز التوجيه على علامة /، تقوم الدالة getTargetFromProxyTable() بدمج رأس Host وعنوان URL للطلب في سلسلة واحدة وتتحقق مما إذا كان المفتاح المُهيأ يمثل سلسلة فرعية من تلك القيمة المدمجة. وهذا يسمح للمهاجم بتجاوز حدود التوجيه عن طريق توفير رأس Host مُصمم خصيصًا يعمل كمطابقة لسلسلة فائقة للمفتاح المُهيأ، مما قد يؤدي إلى توجيه الطلبات إلى خوادم خلفية غير مقصودة. ويؤثر هذا على الدالة createProxyMiddleware() عند تهيئتها بقواعد المضيف والمسار.

قم بالتحديث إلى الإصدار 2.0.10 أو 3.0.6 أو 4.1.0 حسب الإصدار الرئيسي المستخدم.

كحل مؤقت، تجنب استخدام محددات المضيف والمسار في تكوين router الخاص بـ createProxyMiddleware() حتى يتم تطبيق التحديث.