- Yama var
- Son 7 gün
- CWE-1333
CVE-2026-115728
@hapi/content kütüphanesinde Content.disposition ayrıştırmasında ReDoS hizmet dışı bırakma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
@hapi/content sürüm 6.0.1 ile 6.0.3 öncesinde, Content.disposition fonksiyonunda düzenli ifade kaynaklı bir hizmet dışı bırakma (regular expression denial of service) açığı bulunmaktadır. Bu açık, CVE-2026-35213 için yapılan düzeltmenin eksik olmasından kaynaklanmaktadır. Kimlik doğrulaması yapılmamış uzak saldırganlar, eşittir işareti içermeyen uzun bir Content-Disposition parametresi barındıran çok parçalı (multipart) yüklemeler göndererek karesel geri izleme (quadratic backtracking) tetikleyebilir ve bu durum olay döngüsünün (event loop) bloke olmasına neden olur.
Kaynaktaki açıklama (İngilizce)
@hapi/content from 6.0.1 before 6.0.3 contains a regular expression denial of service vulnerability in Content.disposition() caused by an incomplete fix for CVE-2026-35213. Unauthenticated remote attackers can send multipart uploads with a long Content-Disposition parameter lacking an equals sign, triggering quadratic backtracking that blocks the event loop.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hapijs @hapi/content | ≥ 6.0.1, < 6.0.3 | 6.0.3 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ontent/security/advisories/GHSA-jg4p-7fhp-p32p Üretici bülteni
- github.com/hapijs/content/pull/42 Yama
- github.com/…ommit/0993851dc7234976a3fce3a7c31662b213c940fd Yama
- vulncheck.com/…edos-via-content-disposition-parameter-parsing Üçüncü taraf
- github.com/hapijs/content/tree/v6.0.3 Diğer
- github.com/hapijs/content/blob/v6.0.2/lib/index.js Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.