CVE-2026-16221
Təsvir
Təsir: fast-uri 2.3.1-dən 4.1.0-a qədər olan versiyalar (3.1.3-ə qədər 3.x xətti və 2.4.2-yə qədər 2.x xətti daxil olmaqla) literal əks kəsik simvolunu (U+005C) authority ayırıcısı kimi qəbul etmir. fetch, undici və Node-un http və https müştəriləri tərəfindən istifadə olunan Node-un yerli WHATWG URL parseri http, https, ws, wss, ftp və file kimi xüsusi sxemlər üçün əks kəsiki düz kəsikə normallaşdırır. Nəticədə iki parser eyni giriş sətrindən fərqli hostlar çıxarır. Eyni URL-i Node-un URL və ya fetch istehlakçılarına ötürməzdən əvvəl allowlist, denylist, loopback və ya SSRF filtrləməsi, yönləndirmənin yoxlanılması və ya xarici proxy marşrutlaşdırması kimi host əsaslı siyasətin tətbiqi üçün fast-uri-dən istifadə edən tətbiqlər bulud metadata endpointləri, loopback və ya daxili hostlar da daxil olmaqla nəzərdə tutulmayan təyinat nöqtəsinə yönləndirilə bilər. Yamaqlar: fast-uri 4.1.1, 3.1.4 və ya 2.4.3 versiyasına yüksəldin. Müvəqqəti həllər: yoxdur.
Necə düzəltmək olar
- openjsf fast-uri2.4.3, 3.1.4, 4.1.1 və ya daha yeni versiya
- fast-uri2.4.3, 3.1.4, 4.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openjsf fast-uri | 2.3.1 ≤ v < 2.4.3, 3.0.0 ≤ v < 3.1.4, 4.0.0 ≤ v < 4.1.1 | 2.4.3, 3.1.4, 4.1.1 |
| fast-urinpm | 2.3.1 ≤ v < 2.4.3, 3.0.0 ≤ v < 3.1.4, 4.0.0 ≤ v < 4.1.1 | 2.4.3, 3.1.4, 4.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.