CVE-2026-11525
Açıklama
Etki: undici bir Set-Cookie başlığını ayrıştırdığında, RFC 6265 tarafından belirtilen büyük/küçük harf duyarsız tam eşleşme yerine, alt dize olarak Strict, Lax veya None içeren herhangi bir SameSite öznitelik değerini kabul eder. Spesifikasyon dışı değerler sessizce üç standart tokendan birine eşlenir. Örneğin, SameSite=NoneOfYourBusiness değeri None (en izin verici ayar) olarak ve SameSite=StrictLax değeri Lax (Strict'ten daha düşük bir seviye) olarak ayrıştırılır. Etkilenen uygulamalar, sunucu yanıtlarından Set-Cookie başlıklarını tüketen (örneğin undici'nin fetch veya proxy kod yolları aracılığıyla) ve ardından ayrıştırılmış sameSite özniteliğini ileten veya buna güvenen uygulamalardır. Kötü niyetli veya uyumsuz bir sunucu, tüketicinin bir çerezin SameSite politikasına dair görünümünü daha zayıf bir değere zorlayarak, çerezin sağlaması gereken SameSite denetimini sessizce düşürebilir. Bu durum, cookies özelliğinin eklendiği undici 5.15.0 sürümüyle birlikte gelmiştir. Yamalar: undici v6.26.0, v7.28.0 veya v8.5.0 sürümlerine yükseltin. Geçici Çözümler: Bir Set-Cookie başlığı ayrıştırıldıktan sonra, iletmeden veya ona güvenmeden önce ortaya çıkan sameSite özniteliğinin 'Strict', 'Lax' veya 'None' değerlerinden biri (tam, büyük/küçük harf duyarsız) olduğunu doğrulayın.
Nasıl düzeltilir
- nodejs undici6.27.0, 7.28.0, 8.5.0 ya da sonraki bir sürüm
- undici6.27.0, 7.28.0, 8.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | v < 6.27.0, 7.0.0 ≤ v < 7.28.0, 8.0.0 ≤ v < 8.5.0 | 6.27.0, 7.28.0, 8.5.0 |
| undicinpm | v < 6.27.0, 7.0.0 ≤ v < 7.28.0, 8.0.0 ≤ v < 8.5.0 | 6.27.0, 7.28.0, 8.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.