CVE-2026-27193
Təsvir
Feathersjs, TypeScript və ya JavaScript ilə veb API-lər və real vaxt tətbiqləri yaratmaq üçün çərçivədir (framework). 5.0.39 və daha aşağı versiyalarda bütün HTTP sorğu başlıqları sessiya kukisində saxlanılır; bu kuki imzalanmışdır lakin şifrələnməmişdir, bu da daxili proksi/şlüz (gateway) başlıqlarını müştərilərə açıq edir. OAuth xidməti başlıqların tam obyektini sessiyada saxlayır, sonra sessiya məlumatları base64 formatında kodlaşdıran cookie-session vasitəsilə qalıcı hala gətirilir. Kuki, dəyişikliklərin qarşısını almaq üçün imzalanmış olsa da, məzmunu sadəcə base64 dəyərini dekodlaşdırmaqla hər kəs tərəfindən oxuna bilər. Müəyyən yerləşdirmə konfiqurasiyaları altında (məsələn, tərs proksilər və ya API şlüzləri arxasında), bu, API açarları, xidmət tokenləri və daxili IP ünvanları kimi həssas daxili infrastruktur detallarının ifşasına səbəb ola bilər. Bu problem 5.0.40 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- feathersjs feathers5.0.40 və ya daha yeni versiya
- @feathersjs/authentication-oauth5.0.40 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| feathersjs feathers | v < 5.0.40 | 5.0.40 |
| @feathersjs/authentication-oauthnpm | v < 5.0.40 | 5.0.40 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.