CVE-2026-84994
Təsvir
Qwik performans yönümlü bir JavaScript freymvorkudur. @builder.io/qwik 1.20.0 və @qwik.dev/core 2.0.0-beta.37 versiyalarından əvvəl, standart server tərəfli qwik-json deserializasiyası ResourceSerializer.$fill$ funksiyasının hücumçu tərəfindən idarə olunan thenable-ları öncə rədd etmədən resource._resolved dəyərini Promise.resolve-a ötürməsinə səbəb olur. Autentifikasiya olunmamış sorğu ilə then xüsusiyyəti qeydiyyatdan keçməmiş simvol üçün QRL olan sadə obyekt təqdim edilə bilər ki, bu da Node.js-in standart unhandled-rejection siyasətinə uyğun olaraq onun işini dayandıran kəsilmiş asinxron rəddetməyə (orphaned asynchronous rejection) səbəb olur. Tək bir sorğu serveri sıradan çıxara bilər və təkrarlanan sorğular replikaların əlçatmaz qalmasına səbəb ola bilər. Bu problem @builder.io/qwik 1.20.0 və @qwik.dev/core 2.0.0-beta.37 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- @builder.io/qwik1.20.0 və ya daha yeni versiya
- @qwik.dev/core2.0.0-beta37 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| @builder.io/qwiknpm | v < 1.20.0 | 1.20.0 |
| @qwik.dev/corenpm | v < 2.0.0-beta37 | 2.0.0-beta37 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.