CVE-2026-27959
Təsvir
Koa, ES2017 async funksiyalarından istifadə edən Node.js üçün middleware-dir. 3.1.2 və 2.16.4 versiyalarından əvvəl Koa-nın `ctx.hostname` API-ı HTTP Host başlığını sadə şəkildə analiz edir və girişin RFC 3986 hostname sintaksisinə uyğunluğunu yoxlamadan ilk nöqtəli vergüldən əvvəlki bütün hissəni çıxarır. Tərkibində `@` simvolu olan yanlış formatlanmış Host başlığı alındıqda, `ctx.hostname` hücumçunun idarə etdiyi dəyəri — `evil[.]com`-u qaytarır. URL generasiyası, şifrənin sıfırlanması linkləri, e-poçt təsdiqləmə URL-ləri və ya marşrutlaşdırma qərarları üçün `ctx.hostname`-dan istifadə edən tətbiqlər Host header injection hücumlarına qarşı həssasdır. 3.1.2 və 2.16.4 versiyaları bu problemi aradan qaldırır.
Necə düzəltmək olar
- koajs koa2.16.4, 3.1.2 və ya daha yeni versiya
- koa3.1.2, 2.16.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| koajs koa | v < 2.16.4, 3.0.0 ≤ v < 3.1.2 | 2.16.4, 3.1.2 |
| koanpm | 3.0.0 ≤ v < 3.1.2, v < 2.16.4 | 3.1.2, 2.16.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.