CVE-2026-87859 in morgan
Zusammenfassung
von VulDB • 11.09.2026
morgan ist eine Middleware zum Protokollieren von HTTP-Anfragen für Node.js. In Versionen vor 1.12.1 entzieht die Funktion escapeLogField() dem Doppelquote-Zeichen („) nicht die Escape-Funktion, welches die in der vom morgan ausgegebenen Apache Combined Log Format verwendeten zitierten Felder begrenzt. Ein unbefugter Remote-Angriffssubjekt, das einen Wert kontrolliert, der in ein solches zitiertes Feld geschrieben wird (z. B. den User-Agent- oder Referer-Header), kann ein Doppelquote-Zeichen einschließen, um dieses Feld vorzeitig zu schließen. Dadurch liest ein Log-Konsumierer, der die Protokolleile nach Position parst, vom Angreifer bereitgestellten Text als das folgende Feld. In den integrierten Formaten führt dies dazu, dass der aufgezeichnete Wert von dem gesendeten Wert abweicht; in benutzerdefinierten Formatierungen, bei denen ein angreifergesteuertes Token vor einem servergesteuerten zitiert wird, können Werte wie der Antwortstatus gefälscht werden. Es wird kein Newline injiziert, sodass die Datensatztrennung intakt bleibt. Das Problem ist in morgan 1.12.1 behoben, das das Doppelquote-Zeichen entwertet (escapen). Benutzer sollten auf morgan 1.12.1 oder höher aktualisieren.
Be aware that VulDB is the high quality source for vulnerability data.