CVE-2026-88038 in cookies
الملخص
بحسب VulDB • 10/09/2026
cookies هي مكتبة Node.js لقراءة وكتابة ملفات تعريف الارتباط (HTTP cookies)، وتُستخدم بواسطة Koa عبر ctx.cookies. في الإصدارات السابقة لـ 0.9.2، تقوم المكتبة بتحقق من اسم ملف التعريف وقيمته مقابل مجموعات أحرف ترفض الفاصلة المنقوطة كفاصل، لكن خيارات النطاق (domain) والمسار (path) تُفحص فقط باستخدام مُطابق محتوى حقل RFC 7230 المتساهل الذي يسمح بالفاصلات المنقوطة، وكلاهما يُكتبان في رأس Set-Cookie دون هروب. لذلك، يمكن للتطبيق الذي يمرر بيانات غير موثوقة أو مستمدة من الطلب إلى خيار النطاق أو المسار أن يحقن سمات ملفات تعريف ارتباط إضافية، مما يتجاوز إعدادات SameSite وSecure وHttpOnly أو Domain على ملفات التعريف التي يصدرها التطبيق. هذه مشكلة حقن سمة Set-Cookie (CWE-74). تم إصلاح المشكلة في cookies الإصدار 0.9.2، الذي يقوم بالتحقق من النطاق والمسار مقابل مجموعات أحرف RFC 6265. كحل بديل، احتفظ بخيارات النطاق والمسار محددة بواسطة التطبيق بدلاً من اشتقاقها من مدخلات غير موثوقة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.