CVE-2026-43972

ninenines gun (gun_http2 modulu) proqramındakı Mənşəyin Təsdiqlənməsi Xətası (Origin Validation Error) zəifliyi, təsdiqlənməmiş HTTP/2 PUSH_PROMISE authority vasitəsilə kross-mənşəli kukilərin inyeksiyasına imkan verir. gun_http2:push_promise_frame/7 funksiyasında daxil olan PUSH_PROMISE freymindən gələn :authority psevdo-başlığı, onun bağlantının mənşəyi ilə uyğunluğu yoxlanılmadan birbaşa vəd edilmiş axın (promised stream) yazısına kaydedilir. Daha sonra gun_http2:headers_frame/9 funksiyası vəd edilmiş axın üçün cavab başlıqlarını emal edərkən, hər hansı status budqlanmasından və istifadəçi kodu hərəkətə keçməzdən əvvəl, təsdiqlənməmiş server tərəfindən təmin edilən authority ilə gun_cookies:set_cookie_header/7 funksiyasını çağırır. Bu, qəbul edənlərdən serverin səlahiyyətli olmadığı resurs üçün hər hansı push sorğusunu protokol xətası kimi qəbul etməyi tələb edən RFC 7540 §10.6 / RFC 9113 §8.4 standartlarını pozur. Zərərli və ya kompromisə uğramış HTTP/2 serveri müştərinin ortaq kuki anbarına ixtiyari üçüncü tərəf domenləri üçün nəzərdə tutulmuş kukiləri yerləşdirə bilər. Bu, həmin domenlərə qarşı sessiyanın fiksasiyası (session fixation) hücumlarına şərait yaradır və əgər yerləşdirilmiş kuki legitim sessiya tokenini əvəzləyirsə, hesabın ələ keçirilməsi ilə nəticələnə bilər. Hücumçunun nəzarətində olan serverə normal HTTP/2 sorğusu göndərməkdən başqa heç bir istifadəçi qarşılıqlılığı tələb olunmur. Bu problem gun: versiyasının 2.0.0-dan 2.4.0-a qədər olan hissəsinə təsir edir.