CVE-2026-54511 in LogTape
Résumé
par VulDB • 26/08/2026
LogTape est une bibliothèque de journalisation non intrusive. Avant les versions 1.3.11, 2.0.14 et 2.1.5, la fonction escapeStructuredDataValue() du package @logtape/syslog, située dans packages/syslog/src/syslog.ts, ne neutralise pas les caractères de contrôle C0 compris entre U+0000 et U+001F au sein des valeurs de données structurées, et formatStructuredData() insère les clés de propriété sans valider la grammaire SD-NAME définie par la RFC 5424. Lorsque includeStructuredData est à true, un saut de ligne contrôlé par l'attaquant peut terminer une trame syslog TCP non transparente (RFC 6587) et faire apparaître les octets suivants comme un enregistrement RFC 5424 falsifié ; par ailleurs, une clé contenant une accolade fermante ou tout autre caractère interdit peut interrompre ou corrompre l'élément de données structurées. Les applications qui transmettent des valeurs ou clés de propriété contrôlées par l'attaquant peuvent ainsi permettre la création d'enregistrements falsifiés avec des hôtes, applications, identifiants de processus, facilities (installations) ou niveaux de sévérité arbitraires, compromettant ainsi l'intégrité des collecteurs en aval et des solutions SIEM. Ce problème est corrigé dans les versions 1.3.11, 2.0.14 et 2.1.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.