PT-2026-70784
CVE-2026-73086
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات nanoid الأقدم من 3.3.12
إصدارات nanoid الأقدم من 5.1.11
الوصف
تقوم الدالة
nanoid(size) الموجودة في ملفَي index.js و index.cjs بتحويل المعلمة size التي يحددها المستخدم إلى عدد صحيح موقّع ذي 32 بت. ويؤدي إدخال القيمة 2147483648 إلى تحويلها إلى -2147483648، مما يؤدي إلى إتلاف poolOffset الخاص بمولد الأرقام العشوائية الزائفة الآمن تشفيرياً (CSPRNG) على مستوى العملية في الدالة fillPool(). ينتج عن هذا التلف أن تصبح رموز الجلسات اللاحقة، ورموز CSRF، ومفاتيح API، والمعرفات الفريدة سلسلة حتمية هي ”uuuuuuuuuuuuuuuuuuuuu“ حتى يتم إعادة تشغيل العملية.التوصيات
التحديث إلى الإصدار 3.3.12 أو أحدث.
التحديث إلى الإصدار 5.1.11 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾