CVE-2026-15603
Təsvir
morgan Node.js üçün HTTP sorğu loqger middleware-dir. 1.12.0 versiyasından əvvəlki versiyalarda, loq token dəyərlərini escape edən daxili köməkçi funksiya U+0085 (Next Line), U+2028 (Line Separator) və U+2029 (Paragraph Separator) Unicode sətir ayırıcı simvollarını neytrallaşdırmırdı. Autentifikasiya olunmamış uzaqdan müştəri bu simvolları hücumçunun nəzarətində olan loq tokeninə (məsələn, remote-user tokeni vasitəsilə üzə çıxan Basic auth istifadəçi adına) yerləşdirə bilər ki, bu da Unicode-u tanıyan aşağı axın loq emal prosesinin tək bir sorğu loqunu çox sayda məntiqi qeydə bölməsinə səbəb olar. Bu, loq saxtakarlığı (log forging) problemidir (CWE-117) və yalnız ASCII idarəetmə simvollarını həll edən CVE-2026-5078-in natamam düzəlişi ilə bağlıdır. Problem, escape dəstini bu Unicode sətir ayırıcısını əhatə etmək üçün genişləndirən morgan 1.12.0 versiyasında aradan qaldırılıb. Problemi həll etmək üçün morgan 1.12.0 versiyasına yeniləyin.
Necə düzəltmək olar
- morgan_project morgan1.12.0 və ya daha yeni versiya
- morgan1.12.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| morgan_project morgan | v < 1.12.0 | 1.12.0 |
| morgannpm | v < 1.12.0 | 1.12.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.