CVE-2026-29793
Açıklama
Feathersjs, TypeScript veya JavaScript ile web API'leri ve gerçek zamanlı uygulamalar oluşturmak için kullanılan bir çerçevedir. 5.0.0 sürümünden 5.0.42 öncesine kadar olan sürümlerde, Socket.IO istemcileri herhangi bir servis metoduna (get, patch, update, remove) id argümanı olarak rastgele JavaScript nesneleri gönderebilir. Taşıma katmanı bu argüman üzerinde herhangi bir tür denetimi gerçekleştirmez. Servis MongoDB adaptörünü kullandığında, bu nesneler getObjectId() üzerinden geçer ve doğrudan MongoDB sorgusuna operatörler olarak girer. id olarak {$ne: null} gönderilmesi koleksiyondaki tüm belgelerle eşleşir. Bu güvenlik açığı 5.0.42 sürümünde giderilmiştir.
Nasıl düzeltilir
- feathersjs feathers5.0.42 ya da sonraki bir sürüm
- @feathersjs/mongodb5.0.42 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| feathersjs feathers | 5.0.0 ≤ v < 5.0.42 | 5.0.42 |
| @feathersjs/mongodbnpm | 5.0.0 ≤ v < 5.0.42 | 5.0.42 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.