CVE-2026-54511 in LogTape
Riassunto
di VulDB • 27/08/2026
LogTape è una libreria di logging non invasiva. Prima delle versioni 1.3.11, 2.0.14 e 2.1.5, la funzione escapeStructuredDataValue() del pacchetto @logtape/syslog in packages/syslog/src/syslog.ts non neutralizza i caratteri di controllo C0 compresi tra U+0000 e U+001F nei valori dei dati strutturati, e formatStructuredData() inserisce le chiavi delle proprietà senza convalidare la grammatica SD-NAME dell'RFC 5424. Quando includeStructuredData è impostato su true, un newline controllato dall'attaccante può terminare una cornice TCP non trasparente per syslog conforme all'RFC 6587 e far sì che i byte successivi appaiano come un record RFC 5424 falsificato, mentre una chiave contenente una parentesi chiusa o altri caratteri vietati può terminare o corrompere l'elemento dei dati strutturati. Le applicazioni che inoltrano valori di proprietà o chiavi controllate dall'attaccante possono quindi consentire la creazione di record falsificati con host, applicazioni, identificatori di processo, facility o livelli di severità arbitrari, compromettendo l'integrità del collector downstream e della SIEM. Questo problema è risolto nelle versioni 1.3.11, 2.0.14 e 2.1.5.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.