CVE-2026-27959
Açıklama
Koa, ES2017 async fonksiyonlarını kullanan bir Node.js ara yazılımıdır. 3.1.2 ve 2.16.4 versiyonlarından önce, Koa'nın `ctx.hostname` API'si, girdinin RFC 3986 hostname sözdizimine uygun olduğunu doğrulamadan ilk iki noktadan önceki her şeyi ayıklayarak HTTP Host başlığının basit bir ayrıştırmasını gerçekleştirir. `@` sembolü içeren hatalı biçimlendirilmiş bir Host başlığı alındığında, `ctx.hostname` saldırgan tarafından kontrol edilen bir değer olan `evil[.]com` sonucunu döndürür. URL oluşturma, şifre sıfırlama bağlantıları, e-posta doğrulama URL'leri veya yönlendirme kararları için `ctx.hostname` kullanan uygulamalar, Host header injection saldırılarına karşı savunmasızdır. 3.1.2 ve 2.16.4 versiyonları bu sorunu düzeltmektedir.
Nasıl düzeltilir
- koajs koa2.16.4, 3.1.2 ya da sonraki bir sürüm
- koa3.1.2, 2.16.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| koajs koa | v < 2.16.4, 3.0.0 ≤ v < 3.1.2 | 2.16.4, 3.1.2 |
| koanpm | 3.0.0 ≤ v < 3.1.2, v < 2.16.4 | 3.1.2, 2.16.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.