CVE-2026-87859 in morgan
Riassunto
di VulDB • 11/09/2026
morgan è un middleware per il logging delle richieste HTTP scritto per Node.js. Nelle versioni precedenti alla 1.12.1, la sua funzione `escapeLogField()` non effettua l'escaping del carattere doppio apice ("), che delimita i campi tra virgolette nel formato di log combinato Apache emesso da morgan. Un attaccante remoto non autenticato che controlla un valore scritto in un campo tra virgolette, come le intestazioni User-Agent o Referer, può includere un doppio apice per chiudere anticipatamente quel campo; ciò fa sì che un consumatore del log che analizza il registro basandosi sulla posizione dei campi legga il testo fornito dall'attaccante come appartenente al campo successivo. Nei formati predefiniti questo comporta una discrepanza tra il valore registrato e quello effettivamente inviato, mentre nei formati personalizzati in cui viene quotato un token controllato dall'attaccante prima di uno controllato dal server è possibile falsificare valori quali lo stato della risposta (response status). Non viene inserito alcun carattere di nuova riga, quindi la separazione dei record rimane intatta. Il problema è risolto nella versione 1.12.1 di morgan, che effettua l'escaping del doppio apice. Gli utenti dovrebbero effettuare l'aggiornamento a morgan 1.12.1 o versioni successive.
If you want to get best quality of vulnerability data, you may have to visit VulDB.