CVE-2026-9679
Açıklama
Etki: undici'nin parseSetCookie içindeki çerez ayrıştırıcısı, çerez değerlerini qsUnescape aracılığıyla yüzdeyle kod çözmeye tabi tutarak %0D%0A, %00, %3B ve %3D gibi kodlanmış dizileri gerçek bayt karşılıklarına dönüştürür. RFC 6265 §5.4 herhangi bir kod çözme işlemi belirtmez ve tarayıcılar da kod çözme yapmaz. Bir Set-Cookie başlığını ayrıştıran ve ardından ayrıştırılan değeri bir yanıt başlığına ileten uygulamalar (proxy'ler, ara yazılımlar, SSR çerçeveleri), HTTP yanıt başlığı enjeksiyonuna karşı savunmasız hale gelir: saldırgan tarafından kontrol edilen bir üst akış, uygulamanın alt akış yanıtına rastgele Set-Cookie, Location veya Cache-Control başlıkları enjekte ederek oturum sabitleme, açık yönlendirme veya önbellek zehirlemesine olanak tanıyabilir. Etkilenen uygulamalar, undici'nin çerez ayrıştırmasını (parseSetCookie, parseCookie, getSetCookies) kullanan ve ayrıştırılan çerez değerini bir yanıt başlığına ileten uygulamalardır. Bu durum, undici 7.0.0 sürümüne PR #3789 ile eklenmiştir. Yamalar: undici v6.26.0, v7.28.0 veya v8.5.0 sürümlerine yükseltin. Geçici Çözümler: Yükseltme hemen mümkün değilse, parseSetCookie/parseCookie/getSetCookies tarafından döndürülen değerleri doğrudan yanıt başlıklarına iletmeyin; önce CR, LF, NUL, ; ve = baytlarını temizlemek veya reddetmek için değeri sanitize edin.
Nasıl düzeltilir
- nodejs undici6.27.0, 7.28.0, 8.5.0 ya da sonraki bir sürüm
- undici6.27.0, 7.28.0, 8.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | v < 6.27.0, 7.0.0 ≤ v < 7.28.0, 8.0.0 ≤ v < 8.5.0 | 6.27.0, 7.28.0, 8.5.0 |
| undicinpm | v < 6.27.0, 7.0.0 ≤ v < 7.28.0, 8.0.0 ≤ v < 8.5.0 | 6.27.0, 7.28.0, 8.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.