CVE-2023-45143
Açıklama
Undici, Node.js için sıfırdan yazılmış bir HTTP/1.1 istemcisidir. Versiyon 5.26.2 öncesinde Undici, kökenler arası (cross-origin) yönlendirmelerde Authorization başlıklarını temizliyordu ancak `Cookie` başlıklarını temizlemiyordu. Tasarım gereği, `cookie` başlıkları yasaklanmış istek başlıklarıdır ve tarayıcı ortamlarında RequestInit.headers içinde ayarlanmalarına izin verilmez. Undici, başlıkları spesifikasyondan daha esnek bir şekilde işlediği için, spesifikasyonun varsayımları ile undici'nin fetch uygulaması arasında bir uyumsuzluk oluşmuştur. Bu durum, çerezlerin yanlışlıkla üçüncü taraf bir siteye veya yönlendirme hedefini kontrol edebilen kötü niyetli bir saldırgana (örneğin açık bir yönlendirici aracılığıyla) sızmasına yol açabilir. Bu sorun versiyon 5.26.2 ile düzeltilmiştir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- nodejs undici5.26.2 ya da sonraki bir sürüm
- undici5.26.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | v < 5.26.2 | 5.26.2 |
| fedoraproject fedora | 37, 38, 39 | — |
| undicinpm | v < 5.26.2 | 5.26.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.