CVE-2026-87859

morgan, Node.js üçün HTTP sorğu loqger middleware-dir. 1.12.1 versiyasından əvvəlki versiyalarda onun escapeLogField() funksiyası dırnaq işarəsini ("") filtrləmir; halbuki bu işarə morgan tərəfindən göndərilən Apache combined loq formatının dırnaq arası sahələrini ayırır. User-Agent və ya Referer başlığı kimi dırnaq arası sahəyə yazılan dəyəri idarə edə bilən autentifikasiya olunmamış uzaq hücumçu, həmin sahəni vaxtından bağlamaq üçün dırnaq işarəsindən istifadə edə bilər. Beləliklə, loqu sahə mövqeyinə görə analiz edən istehlakçı, hücumçunun təqdim etdiyi mətni növbəti sahə kimi oxuyur. Daxili formatlarda bu, qeydə alınan dəyərin göndərilən dəyərdən fərqli olmasına səbəb olur, server tərəfindən idarə olunan tokendən əvvəl hücumçu tərəfindən idarə olunan tokeni dırnağa alan xüsusi formatlarda isə cavab statusu kimi dəyərlərin saxtalaşdırılmasına imkan verir. Yeni sətir simvolu yerləşdirilmadığı üçün qeydlərin ayrılması pozulmur. Problem, dırnaq işarəsini filtrləyən morgan 1.12.1 versiyasında düzəldilib. İstifadəçilər morgan 1.12.1 və ya daha yeni versiyaya yüksəltmə etməlidirlər.