CVE-2026-84994
Açıklama
Qwik, performans odaklı bir JavaScript framework'üdür. @builder.io/qwik 1.20.0 ve @qwik.dev/core 2.0.0-beta.37 sürümlerinden önce, varsayılan sunucu tarafı qwik-json deserialization işlemi, ResourceSerializer.$fill$ fonksiyonunun saldırgan tarafından kontrol edilen thenable yapılarını önceden reddetmeden resource._resolved değerini Promise.resolve fonksiyonuna iletmesine neden olur. Kimliği doğrulanmamış bir istek, then özelliği kayıt dışı bir sembol için QRL olan düz bir nesne sağlayarak, Node.js'in varsayılan işlenmemiş red (unhandled-rejection) politikası altında süreci sonlandıran yetim bir asenkron reddine yol açabilir. Tek bir istek sunucuyu çökertebilir ve tekrarlanan istekler replikaların kullanılamaz kalmasına neden olabilir. Bu sorun @builder.io/qwik 1.20.0 ve @qwik.dev/core 2.0.0-beta.37 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- @builder.io/qwik1.20.0 ya da sonraki bir sürüm
- @qwik.dev/core2.0.0-beta37 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @builder.io/qwiknpm | v < 1.20.0 | 1.20.0 |
| @qwik.dev/corenpm | v < 2.0.0-beta37 | 2.0.0-beta37 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.