CVE-2026-84197

Eclipse Ditto'nun Node.js JavaScript istemcisinde, @eclipse-ditto/ditto-javascript-client-node paketinin 2.0.0 ile 3.9.0 arasındaki tüm sürümleri ve öncül paketi olan @eclipse-ditto/ditto-javascript-client-node_1.0'ın 1.0.0 ile 2.1.0 arasındaki sürümlerinde, WebSocket taşıma katmanı temel ws WebSocket oluşturulurken rejectUnauthorized: false değerini sabit olarak kodlamıştır. Bu nedenle, her wss:// bağlantısı için sertifika zinciri ve ana bilgisayar adı doğrulaması devre dışı bırakılmıştır; hiçbir yapılandırıcı seçeneği, kurucu bağımsız değişkeni veya ortam değişkeni uygulamanın doğrulamayı yeniden etkinleştirmesine izin vermez. Bağlantıyıleyleme konumundaki bir saldırgan rastgele bir sertifika sunabilir, TLS el sıkışmasını tamamlayabilir, yapılandırılmış kimlik doğrulama sağlayıcısının WebSocket yükseltme isteğinin Authorization başlığında gönderdiği kimlik bilgilerini okuyabilir ve bağlantı süresi boyunca Ditto Protokol mesajlarını okuyabilir, değiştirebilir veya enjekte edebilir. Java istemcisi, tarayıcı/DOM JavaScript istemcisi ve Node.js istemcisinin HTTP taşıma katmanı bu durumdan etkilenmemektedir.