CVE-2026-73649
Təsvir
Velocity.js, Apache Velocity şablon mühərrikinin JavaScript tətbiqidir. Versiya 2.1.7-dək olan CVE-2026-44966 üçün əvvəlki düzəliş constructor, __proto__ və prototype elementlərini yalnız src/compile/set.ts faylındakı #set təyinat operatorunda filtrləmişdir, lakin src/compile/references.ts faylındakı xüsusiyyət oxuma ifadələri filtrsiz qalmışdır. getReferences() axını getAttributes() funksiyasını çağırmışdır və onun xüsusiyyət girişləri hücumçu tərəfindən idarə olunan şablona constructor.constructor vasitəsilə JavaScript Function konstruktoruna keçid etməyə imkan vermişdir. #set operatoru yalnız təyinat hədəfini yoxlamış və sağ tərəfdəki xüsusiyyət oxuma ifadəsini nəzərdən keçirməmişdir ki, bu da server prosesində ixtiyari shell əmrlərinin icrasına, mühit dəyişənlərinə girişə, bulud etibarnamələrinə girişə və daxili şəbəkəyə girişə şərait yaratmışdır. Bu problem versiya 2.1.7-də düzəldilmişdir.
Necə düzəltmək olar
- velocityjs2.1.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| velocityjsnpm | v < 2.1.7 | 2.1.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.