CVE-2026-9679

Təsir: undici-nin parseSetCookie funksiyasındakı cookie parseri, qsUnescape vasitəsilə cookie dəyərlərini faiz-dekodlaşdıraraq %0D%0A, %00, %3B və %3D kimi kodlaşdırılmış ardıcıllıkları onların hərfi bayt ekvivalentlərinə çevirir. RFC 6265 §5.4 heç bir dekodlaşdırmanı təyin etmir və brauzerlər də dekodlaşdırma aparmır. Set-Cookie başlığını analiz edən və sonra analiz edilmiş dəyəri cavab başlığına ötürən tətbiqlər (proksilər, middleware-lər, SSR freymvorkları) HTTP cavab başlığının inyeksiyasına (HTTP response header injection) qarşı həssas olur: hücumçu tərəfindən idarə olunan yuxarı axın (upstream), tətbiqin aşağı axın (downstream) cavabına ixtiyari Set-Cookie, Location və ya Cache-Control başlıqlarını inyeksiya edə bilər ki, bu da sessiyanın fiksasiyasına (session fixation), açıq yönləndirməyə (open redirect) və ya keş zəhərlənməsinə (cache poisoning) şərait yaradır. Həssas tətbiqlər undici-nin cookie analizindən (parseSetCookie, parseCookie, getSetCookies) istifadə edən və analiz edilmiş cookie dəyərini cavab başlığına ötürən tətbiqlərdir. Bu problem undici 7.0.0 versiyasında PR #3789 vasitəsilə daxil edilmişdir. Yamalalar: undici v6.26.0, v7.28.0 və ya v8.5.0 versiyalarına yüksəldin. Alternativ həllər: Əgər yeniləmə dərhal mümkün deyilsə, parseSetCookie/parseCookie/getSetCookies tərəfindən qaytarılan dəyərləri birbaşa cavab başlıqlarına ötürməyin; əvvəlcə CR, LF, NUL, ; və = baytlarını təmizləmək və ya rədd etmək üçün dəyəri sanitizasiya edin.