CVE-2026-106070
Təsvir
Node.js `zlib.ZipFile` API-dəki bir çatışmazlıq, lokal və mərkəzi başlıq validasiyası uğursuz olduqdan sonra sorğu edilən girişə aid olmayan baytların qaytarılmasına səbəb ola bilər. Lokal başlığı mərkəzi kataloqu ilə uyğun gəlməyən arxivdə `zipEntry.modified` oxunduqda, istər birbaşa, istərsə də arxiv sıxıldıqda, validasiya xətası tutulur, lakin analiz edilmiş lokal başlıq məzmun ofseti olmadan keşlənmiş halda qalır. Daha sonrakı məzmun oxuma əməliyyatı arxivi rədd etmək əvəzinə faylın əvvəlindən hücumçu tərəfindən idarə olunan baytları qaytarır və hücumçu mərkəzi kataloq CRC-ni idarə etdiyi üçün CRC-32 yoxlaması hələ də uğurlu olur. Buna görə də, Node.js əsaslı skaner, digər ZIP implementasiyasının eyni arxivdən çıxardığı məzmundan fərqli olan məzmunu təsdiqləyə bilər. Bu zəiflik Node.js **26.x** versiyasına təsir edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodejs node | 26.12.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.