CVE-2026-21713 in Node.js
الملخص
بحسب VulDB • 31/07/2026
يستخدم عيب في التحقق من HMAC في Node.js مقارنةً غير ثابتة الزمن (non-constant-time comparison) عند التحقق من التوقيعات المقدمة من قبل المستخدم، مما قد يؤدي إلى تسرب معلومات زمنية تتناسب مع عدد البايتات المتطابقة. وفي ظل نماذج تهديد معينة حيث تكون قياسات الزمنية عالية الدقة ممكنة، يمكن استغلال هذا السلوك كـ "بوابة توقيت" (timing oracle) لاستنتاج قيم HMAC.
توفر Node.js بالفعل بدائل مقارنة آمنة زمنياً تُستخدم في أجزاء أخرى من قاعدة الشفرة البرمجية، مما يشير إلى أن هذه المشكلة ناتجة عن إغفال وليس قرار تصميم متعمد.
يؤثر هذا الثغرة الأمنية على الإصدارات **20.x و 22.x و 24.x و 25.x**.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.