CVE-2026-27193
Açıklama
Feathersjs, TypeScript veya JavaScript ile web API'leri ve gerçek zamanlı uygulamalar oluşturmak için kullanılan bir çerçevedir. 5.0.39 ve altı sürümlerde, tüm HTTP istek başlıkları imzalanmış ancak şifrelenmemiş olan oturum çerezinde saklanmakta ve bu durum dahili proxy/gateway başlıklarını istemcilere ifşa etmektedir. OAuth servisi, tüm başlıklar nesnesini oturumda saklamakta, ardından oturum verileri base64 ile kodlayan cookie-session kullanılarak kalıcı hale getirilmektedir. Çerez, kurcalamayı önlemek için imzalanmış olsa da içerikleri, base64 değeri basitçe çözülerek herkes tarafından okunabilmektedir. Belirli dağıtım yapılandırmaları altında (örneğin, ters proxy'ler veya API gateway'ler arkasında), bu durum API anahtarları, servis belirteçleri ve dahili IP adresleri gibi hassas dahili altyapı detaylarının ifşasına yol açabilir. Bu sorun 5.0.40 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- feathersjs feathers5.0.40 ya da sonraki bir sürüm
- @feathersjs/authentication-oauth5.0.40 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| feathersjs feathers | v < 5.0.40 | 5.0.40 |
| @feathersjs/authentication-oauthnpm | v < 5.0.40 | 5.0.40 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.