CVE-2026-55603
Açıklama
http-proxy-middleware, bir node.js http-proxy ara yazılımıdır. 3.0.4 ile 3.0.7 ve 4.1.1 sürümleri arasında fixRequestBody(), bir gövde ayrıştırıcı tarafından halihazırda tüketilmiş olan bir istek gövdesini yeniden yayınlamak için kütüphanenin belgelediği yardımcı fonksiyondur. Giden Content-Type multipart/form-data olduğunda, her bir req.body anahtarını ve değerini CR/LF karakterlerini etkisiz hale getirmeden doğrudan multipart tel formatına yerleştiren handlerFormDataBodyData() ile gövdeyi yeniden oluşturur. Bir değerin (veya anahtarın) içindeki \r\n, saldırganın mevcut bölümü kapatmasına ve tamamen yeni bir form bölümü eklemesine olanak tanır. Proxy'nin kendi gövde ayrıştırıcısı tek bir opak değer gördüğü için, req.body üzerinde gerçekleştirilen herhangi bir ağ geçidi tarafı politikası veya doğrulaması, üst akış arka ucunun nihayetinde ayrıştırdığı alanlardan farklı bir küme üzerinden değerlendirilir; bu durum güven sınırı boyunca bir istek/parametre senkronizasyon bozukluğuna yol açar. Bu güvenlik açığı 3.0.7 ve 4.1.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- chimurai http-proxy-middleware3.0.7, 4.1.1 ya da sonraki bir sürüm
- http-proxy-middleware3.0.7, 4.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chimurai http-proxy-middleware | 3.0.4 ≤ v < 3.0.7, 4.0.0 ≤ v < 4.1.1 | 3.0.7, 4.1.1 |
| http-proxy-middlewarenpm | 3.0.4 ≤ v < 3.0.7, 4.0.0 ≤ v < 4.1.1 | 3.0.7, 4.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.