CVE-2024-29041 in Express.js
الملخص
بحسب VulDB • 18/06/2026
إطار عمل الويب البسيط Express.js لنظام Node.js. تتأثر إصدارات Express.js السابقة للإصدار 4.19.0 وجميع الإصدارات التجريبية (alpha) والإصدارات التجريبية المبكرة (beta) من الإصدار 5.0 بثقبة أمنية تتعلق بإعادة التوجيه المفتوحة (Open Redirect) باستخدام عناوين URL مشوهة. عندما يقوم مستخدم Express بإعادة توجيه باستخدام عنوان URL مقدم من قبل المستخدم، يقوم Express بتشفير [باستخدام `encodeurl`](https://github.com/pillarjs/encodeurl) المحتويات قبل تمريرها إلى رأس `location`. يمكن أن يؤدي هذا إلى تقييم عناوين URL المشوهة بطرق غير متوقعة من قبل تطبيقات القائمة البيضاء (allow list) الشائعة لإعادة التوجيه في تطبيقات Express، مما يؤدي إلى حدوث إعادة توجيه مفتوحة عبر تجاوز القائمة البيضاء المُنفذة بشكل صحيح. الطريقة الرئيسية المتأثرة هي `res.location()`، ولكن يتم استدعاؤها أيضًا من داخل `res.redirect()`. تم إصلاح الثغرة الأمنية في الإصدارين 4.19.2 و 5.0.0-beta.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.