CVE-2026-11525

Təsir: undici Set-Cookie başlığını analiz edərkən, RFC 6265 tərəfindən təyin edilmiş böyük-kiçik hərflərdən asılı olmayan dəqiq uyğunluq əvəzinə, alt sətir kimi Strict, Lax və ya None ehtiva edən istənilən SameSite atribut dəyərini qəbul edir. Spesifikasiyaya uyğun olmayan dəyərlər səssiz şəkildə üç standart tokendən birinə yönləndirilir. Məsələn, SameSite=NoneOfYourBusiness None (ən geniş icazəli tənzimləmə) kimi, SameSite=StrictLax isə Lax (Strict-dən daha zəif səviyyəyə endirmə) kimi analiz edilir. Təsirə məruz qalan tətbiqlər, server cavablarından Set-Cookie başlıqlarını qəbul edən (məsələn, undici-nin fetch və ya proxy kod yolları vasitəsilə) və sonra analiz edilmiş sameSite atributunu ötürən və ya ona güvənən tətbiqlərdir. Zərərli və ya spesifikasiyalara uyğun olmayan server, istehlakçının kukinin SameSite siyasətinə dair baxışını daha zəif dəyərə məcbur edə bilər ki, bu da kukinin təmin etməli olduğu SameSite icrasını səssiz şəkildə zəiflədir. Bu problem cookies funksiyası əlavə edildiyi zaman undici 5.15.0 versiyasında ortaya çıxmışdır. Yamalalar: undici v6.26.0, v7.28.0 və ya v8.5.0 versiyasına yüksəldin. Alternativ həllər: Set-Cookie başlığı analiz edildikdən sonra, onu ötürməzdən və ya ona güvənməzdən əvvəl nəticədə alınan sameSite atributunun 'Strict', 'Lax' və ya 'None' (dəqiq, böyük-kiçik hərflərdən asılı olmayaraq) dəyərlərindən biri olduğunu yoxlayın.