CVE-2026-88038

cookies, Koa tarafından ctx.cookies aracılığıyla kullanılan, HTTP çerezlerini okumak ve yazmak için geliştirilmiş bir Node.js kütüphanesidir. 0.9.2 öncesindeki sürümlerde kütüphane, çerez adını ve değerini noktalı virgül ayırıcısını reddeden karakter setlerine göre doğrular; ancak domain ve path seçenekleri yalnızca noktalı virgüle izin veren geniş kapsamlı bir RFC 7230 alan içeriği eşleştiricisine göre kontrol edilir ve her ikisi de Set-Cookie başlığına kaçış karakterleri uygulanmadan yazılır. Güvenilmeyen veya istekten türetilen verileri domain veya path seçeneğine aktaran bir uygulama, bu sayede ek çerez öznitelikleri enjekte ederek uygulamanın oluşturduğu çerezlerdeki SameSite, Secure, HttpOnly veya Domain ayarlarını geçersiz kılabilir. Bu durum bir Set-Cookie öznitelik enjeksiyonu sorunudur (CWE-74). Sorun, domain ve path seçeneklerini RFC 6265 karakter setlerine göre doğrulayan cookies 0.9.2 sürümünde düzeltilmiştir. Geçici çözüm olarak, domain ve path değerlerinin güvenilmeyen girdilerden türetilmesi yerine uygulama tarafından belirlenmesi sağlanmalıdır.