CVE-2026-88038

cookies, Koa tərəfindən ctx.cookies vasitəsilə istifadə edilən, HTTP kukilərini oxumaq və yazmaq üçün nəzərdə tutulmuş Node.js kitabxanasıdır. 0.9.2 versiyasından əvvəlki versiyalarda kitabxana kuki adını və dəyərini nöqtəli vergül ayırıcısını rədd edən simvol dəstlərinə görə yoxlayır, lakin domain və path seçimləri yalnız nöqtəli vergüllərə icazə verən tolerant RFC 7230 sahə məzmunu uyğunlaşdırıcısına görə yoxlanılır və hər ikisi Set-Cookie başlığına escape edilmədən yazılır. Etibarsız və ya sorğudan əldə edilmiş məlumatları domain və ya path seçiminə ötürən tətbiq beləliklə əlavə kuki atributlarını inyeksiya edə bilər ki, bu da tətbiqin təqdim etdiyi kukilərdə SameSite, Secure, HttpOnly və ya Domain parametrlərinin mövcudluğunu ləğv edir. Bu, Set-Cookie atributunun inyeksiyası problemidir (CWE-74). Problem, domain və path parametrlərini RFC 6265 simvol dəstlərinə görə yoxlayan cookies 0.9.2 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi, domain və path seçimlərini etibarsız girişdən törətmək əvəzinə tətbiq tərəfindən təyin olunmuş şəkildə saxlayın.