CVE-2026-15603
Açıklama
morgan, Node.js için bir HTTP istek günlüğü kaydetme ara yazılımıdır. 1.12.0 öncesindeki sürümlerde, günlük belirteci değerlerini kaçıran dahili yardımcı araç; U+0085 (Next Line), U+2028 (Line Separator) ve U+2029 (Paragraph Separator) Unicode satır ayırıcı karakterlerini etkisiz hale getirmiyordu. Kimliği doğrulanmamış uzak bir istemci, örneğin remote-user belirteci aracılığıyla ortaya çıkan bir Basic auth kullanıcı adı gibi saldırgan kontrollü bir günlük belirtecine bu karakterleri yerleştirerek, Unicode destekli alt akış günlük işleme sürecinin tek bir istek günlüğünü birden fazla mantıksal kayda bölmesini sağlayabilir. Bu durum bir günlük sahteciliği (log forging) sorunudur (CWE-117) ve yalnızca ASCII kontrol karakterlerini ele alan CVE-2026-5078'in eksik düzeltme sonrası takibidir. Sorun, kaçış kümesini bu Unicode satır ayırıcılarını kapsayacak şekilde genişleten morgan 1.12.0 sürümünde giderilmiştir. Gidermek için morgan 1.12.0 sürümüne yükseltin.
Nasıl düzeltilir
- morgan_project morgan1.12.0 ya da sonraki bir sürüm
- morgan1.12.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| morgan_project morgan | v < 1.12.0 | 1.12.0 |
| morgannpm | v < 1.12.0 | 1.12.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.