CVE-2026-84961
Təsvir
undici-nin BalancedPool konstruktoru bütün seçimlər obyektini dəyəri JSON kimi seriyallaşdıran və yenidən analiz edən daxili dərin kopyalama (deep-clone) prosesindən keçirir. JSON funksiyaları təmsil edə bilmədiyi üçün, istifadəçi tərəfindən təmin edilən checkServerIdentity geri çağırma funksiyası və ya connect seçimi daxilindəki xüsusi konnektor kimi funksiya tipli hər hansı TLS seçimi, TLS təbəqəsinə çatmamış səssizcə silinir. Nəticədə, tətbiqin xüsusi checkServerIdentity funksiyasının rədd etmək üçün yazıldığı, lakin Node-un standart host adı və zəncir yoxlamalarından keçən qarşı tərəf, BalancedPool vasitəsilə əlaqə qurulduqda qəbul edilir. Client, Pool və Agent dispatcher-ləri buna təsir etmir, çünki onlar kopyalamadan əvvəl connect və tls seçimlərini ayırırlar. Bu problem undici-nin 7.24.1-dən 7.29.1-ə qədər və 8.0.0-dan 8.10.2-yə qədər olan versiyalarını, yalnız tətbiq BalancedPool-a funksiya tipli connect və ya tls seçimi təqdim etdikdə təsir edir. İstifadəçilər undici 7.29.1 və ya 8.10.2 versiyasına yüksəltmə etməlidirlər.
Necə düzəltmək olar
- nodejs undici7.29.1, 8.10.2 və ya daha yeni versiya
- undici7.29.1, 8.10.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodejs undici | 7.24.1 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
| undicinpm | 7.24.1 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.