PT-2026-60960
CVE-2026-15631
·
تاريخ النشر
2026-07-18
·
تاريخ التحديث
2026-07-28
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
@fastify/http-proxy من الإصدار 9.4.0 حتى 11.5.0
الوصف
لا يتم التحقق من صحة مسارات وجهة WebSocket بشكل صحيح مقابل بادئة إعادة الكتابة المُعدة. تقوم الدالة
WebSocketProxy.findUpstream() بحل الوجهات باستخدام مُنشئ عناوين URL الخاص بـ WHATWG، والذي يدمج أجزاء النقطة. وهذا يسمح لطلب ترقية مُصمم خصيصًا يحتوي على تسلسلات عبور المسار بتجاوز بادئة إعادة الكتابة والوصول إلى نقاط النهاية في الاتجاه الصاعد التي لا ينبغي الكشف عنها. يمكن استغلال هذه المشكلة عبر عملاء WebSocket غير المُعَدِّلين للمسارات، مثل عملاء HTTP الخام أو الوكلاء النهائيين الذين يعيدون توجيه هدف الطلب دون تعديل، حيث تقوم المتصفحات القياسية وحزمة ws بتوحيد المسارات قبل الإرسال.التوصيات
قم بترقية @fastify/http-proxy إلى الإصدار 11.6.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾