CVE-2026-32304
Açıklama
Locutus, eğitim amaçlı olarak diğer programlama dillerinin standart kütüphanelerini JavaScript'e taşır. 3.0.14 sürümünden önce, create_function(args, code) fonksiyonu her iki parametreyi de herhangi bir temizleme işlemi yapmadan doğrudan Function yapıcısına ileterek rastgele kod çalıştırılmasına izin verir. Bu durum, v2.x sürümünde call_user_func_array fonksiyonunun eval() kullanmasından kaynaklanan CVE-2026-29091'den farklıdır. Bu bulgu, v3.x sürümünde new Function() kullanan create_function fonksiyonunu etkilemektedir. Bu güvenlik açığı 3.0.14 sürümünde giderilmiştir.
Nasıl düzeltilir
- locutus locutus3.0.14 ya da sonraki bir sürüm
- locutus3.0.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| locutus locutus | v < 3.0.14 | 3.0.14 |
| locutusnpm | v < 3.0.14 | 3.0.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.