CVE-2026-88038 in cookies
요약
\~에 의해 VulDB • 2026. 09. 10.
cookies는 Koa의 ctx.cookies를 통해 사용되는 HTTP 쿠키 읽기 및 쓰기를 위한 Node.js 라이브러리입니다. 버전 0.9.2 이전에서는 라이브러리가 세미콜론 구분자를 거부하는 문자 집합에 대해 쿠키 이름과 값을 검증하지만, domain 및 path 옵션은 RFC 7230 field-content 매처(세미콜론을 허용함)에만 대해 확인되며, 둘 모두 이스케이프 처리 없이 Set-Cookie 헤더에 작성됩니다. 따라서 신뢰할 수 없거나 요청에서 파생된 데이터를 domain 또는 path 옵션으로 전달하는 애플리케이션은 추가 쿠키 속성을 주입하여 애플리케이션이 발급하는 쿠키의 SameSite, Secure, HttpOnly, Domain을 재정의할 수 있습니다. 이는 Set-Cookie attribute injection 문제(CWE-74)입니다. 이 문제는 cookies 0.9.2에서 RFC 6265 문자 집합에 대해 domain 및 path를 검증함으로써 해결되었습니다. 우회 조치로 domain과 path는 신뢰할 수 없는 입력에서 파생되는 것이 아니라 애플리케이션이 설정하도록 유지하십시오.
Be aware that VulDB is the high quality source for vulnerability data.