CVE-2026-97705
Açıklama
Moleculer, Node.js için ilerici bir mikroservisler çerçevesidir. 0.14.36 ve 0.15.2 sürümlerinden önce, src/transporters/tcp/parser.js içindeki Parser._write, imzalı bir paket uzunluğunu okumak için Buffer.prototype.readInt32BE kullanıyordu; bu nedenle uzaktaki kimliği doğrulanmamış bir eş, while (packet.length > 0) döngüsünün süresiz olarak devam etmesine neden olan ve packet.slice(length) fonksiyonunun değiştirilmemiş tamponu döndürmesini sağlayan negatif bir değer gönderebilirdi. Senkron döngü, Node.js olay döngüsünü engelledi ve yeniden başlatılana kadar süreçteki her servisin yanıtsız kalmasına yol açtı. TCP taşıyıcısının etkin ve erişilebilir olması gerekirken, ne CRC doğrulaması ne de maxPacketSize hatalı uzunluk değerini engellemektedir. Bu sorun 0.14.36 ve 0.15.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| moleculerjs moleculer | >= 0.15.0, < 0.15.2, < 0.14.36 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.