CVE-2026-85014
Təsvir
undici-nin eksperimental WebSocketStream kliyenti, uzaq tərəf WebSocket bağlanma əl sıxması (handshake) olmadan TCP bağlantısını kəsdikdə bütün Node.js prosesini çökdürür. Qeyri-təmiz bağlanma zamanı daxili socket-close idarəçisi yazıla bilən axın üzərində şərtsiz olaraq abort funksiyasını çağırır və qaytarılan promise-i gözardı edir, lakin WHATWG Streams standartına əsasən, kilidlənmiş bir yazıla bilən axının dayandırılması (aborting) TypeError ilə rədd edilən bir promise qaytarır. Tətbiq həmin yazıla bilən axın üzərində yazıçıya (writer) sahib olduğu üçün (ki bu, yazmaq üçün yeganə yoldur), rədd etmə heç vaxt müşahidə olunmur və Node-un standart işlənilməmiş rəddetmə (unhandled-rejection) davranışı prosesi sonlandırır. Beləliklə, etibarsız bir server, heç bir autentifikasiya və tətbiq səhvi olmadan, tək bir qəfil bağlantı kəsilməsi ilə kliyenti çökdürə bilər. Bu, undici-nin 7.0.0-dan 7.29.1-ə qədər və 8.0.0-dan 8.10.2-yə qədər olan versiyalarına təsir edir. İstifadəçilər undici 7.29.1 və ya 8.10.2 versiyasına yüksəltmə etməlidirlər.
Necə düzəltmək olar
- nodejs undici7.29.1, 8.10.2 və ya daha yeni versiya
- undici7.29.1, 8.10.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nodejs undici | 7.0.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
| undicinpm | 7.0.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.