CVE-2026-61526
Açıklama
AdonisJS HTTP Server, AdonisJS çatısında HTTP isteklerini işlemek için bir pakettir. 8.0.0-next.0 ile 8.2.0 arasındaki ve 9.0.0 ile 9.0.2 arasındaki sürümlerde, error.message varsayılan HTML istisna yanıtına kaçış yapılmadan enterpole edilir; bu da özel olarak hazırlanmış bir eksik rota URL'sinin, kurban tarafından açıldığında ve hatayı özel bir durum sayfası veya JSON yanıtı işlemediğinde saldırgan tarafından kontrol edilen JavaScript'in çalıştırılmasına olanak tanır. Hata ayıklama modu devre dışıyken ve hatayı özel bir durum sayfası işlemediğinde, varsayılan HTML oluşturucu error.message değerini doğrudan bir HTML yanıtına enterpole eder. Bu sorun 8.2.1 ve 9.1.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| adonisjs http-server | >= 8.0.0-next.0, < 8.2.1, >= 9.0.0, < 9.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.