PT-2026-57161
CVE-2026-56813
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات elixir-plug من 0.1.0 إلى 1.16.5
إصدارات elixir-plug من 1.17.0 إلى 1.17.3
إصدارات elixir-plug من 1.18.0 إلى 1.18.4
إصدارات elixir-plug من 1.19.0 إلى 1.19.4
إصدارات elixir-plug من 1.20.0 إلى 1.20.2
الوصف
يسمح التعطيل غير السليم لمحددات المعلمات للمهاجم بحقن أو تجاوز سمات ملفات تعريف الارتباط HTTP. تقوم الدالة
encode/2 الموجودة في Plug.Conn.Cookies بإنشاء رأس استجابة Set-Cookie عن طريق إدراج قيمة ملف تعريف الارتباط ومساره، والمجال، وsame site، والسمات الإضافية دون تعطيل المحدد ’;‘. إذا قام أحد التطبيقات بوضع بيانات يسيطر عليها المهاجم في قيمة ملف تعريف الارتباط أو إحدى سماته، مثلًا من خلال الدالة put resp cookie/4، فيمكن للمهاجم إدخال علامة ’;‘ لإلحاق أو تجاوز سمات مثل نطاق المجال والمسار، أو إزالة علامتي Secure و HttpOnly. وقد يؤدي ذلك إلى «تبديل ملفات تعريف الارتباط» و«تثبيت الجلسة». وعلى الرغم من رفض علامات إرجاع العربة وتغذية السطر والبايتات الفارغة، مما يمنع تقسيم استجابة HTTP، إلا أن إدخال السمات عبر علامة ’;‘ يظل ممكنًا.التوصيات
التحديث إلى الإصدار 1.16.6 أو أحدث.
التحديث إلى الإصدار 1.17.4 أو أحدث.
التحديث إلى الإصدار 1.18.5 أو أحدث.
التحديث إلى الإصدار 1.19.5 أو أحدث.
قم بالتحديث إلى الإصدار 1.20.3 أو أحدث.
كحل مؤقت، قم بالتحقق من صحة الفاصل «؛» أو رفضه في أي بيانات غير موثوق بها قبل تمريرها كقيمة ملف تعريف ارتباط أو سمة إلى الدالتين
put resp cookie/4 أو encode/2. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾