CVE-2026-15603 in Morgan
Riassunto
di VulDB • 29/08/2026
morgan è un middleware per il logging delle richieste HTTP scritto per Node.js. Nelle versioni precedenti alla 1.12.0, la funzione di supporto interna che effettua l'escaping dei valori dei token di log non neutralizzava i caratteri separatore di riga Unicode U+0085 (Next Line), U+2028 (Line Separator) e U+2029 (Paragraph Separator). Un client remoto non autenticato può inserire questi caratteri in un token di log controllato dall'attaccante, ad esempio nel nome utente Basic auth esposto tramite il token remote-user, in modo che l'elaborazione del log a valle, consapevole dei Unicode, divida una singola registrazione della richiesta in più record logici. Si tratta di un problema di falsificazione del log (CWE-117) e di un follow-up alla correzione incompleta per CVE-2026-5078, che aveva affrontato solo i caratteri di controllo ASCII. Il problema è stato risolto in morgan 1.12.0, che estende l'insieme dei caratteri da effettuare con escaping per includere questi separatori di riga Unicode. Effettuare l'upgrade a morgan 1.12.0 per remediate la vulnerabilità.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.