CVE-2026-16729

إصدارات «undici» السابقة للإصدار 6.28.0

إصدارات «undici» من 7.0.0 إلى 7.28.9

إصدارات «undici» من 8.0.0 إلى 8.8.9

تفشل الدالة setCookie() في تنقية سمات ملفات تعريف الارتباط بشكل كامل. وعلى وجه التحديد، لا يتم فحص قيمة المجال بحثًا عن الفاصلة المنقوطة، ولا يتم تنقية العناصر الموجودة في المصفوفة غير المُحللة. وهذا يسمح للمدخلات التي يتلاعب بها المهاجمون بإدخال سمات إضافية لملفات تعريف الارتباط. على سبيل المثال، يمكن لقيمة المجال التي تحتوي على فاصلة منقوطة أن تضيف سمات مثل SameSite، ويمكن لعنصر غير مُحلل أن يُدخل سمات مثل HttpOnly دون قصد من جانب المستدعي. قد تتعرض التطبيقات التي تمرر مدخلات يتحكم فيها المستخدم إلى هذه الحقول — مثل خوادم البروكسي العكسي أو الخوادم متعددة المستأجرين التي تحدد نطاق ملفات تعريف الارتباط للجلسة بنطاقات يحددها المستأجر — لتجاوز إجراءات الحماية من هجمات CSRF الخاصة بـ SameSite، أو قد تتعرض سمات Secure وHttpOnly وSameSite إلى الفرض أو الحذف أو التجاوز.

التحديث إلى الإصدار 6.28.0

التحديث إلى الإصدار 7.29.0

التحديث إلى الإصدار 8.9.0