CVE-2026-15603

ŚrednieCVSS 5.3

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.

Ocena ryzyka

Atakujący może sfałszować wpisy logów, co może utrudnić audyt bezpieczeństwa, ukryć ataki lub wprowadzić w błąd systemy monitorujące.

Rekomendacja

Zaktualizuj morgan do wersji 1.12.0 lub nowszej, która rozszerza zestaw znaków ucieczki o separatory linii Unicode.

Inne podatności w morgan

CVE-2026-5078Średnie
Morgan, popularne oprogramowanie pośredniczące do logowania w Node.js, ma podatność na fałszowanie logów. Token :remote-user wypisuje nazwę użytkownika Basic Auth bez neutralizowania znaków kontrolnych, co pozwala atakującemu wstrzyknąć fałszywe linie do logów.

Oryginalny opis (angielski, źródło NVD)

morgan is an HTTP request logger middleware for Node.js. In versions prior to 1.12.0, the internal helper that escapes log token values did not neutralize the Unicode line separator characters U+0085 (Next Line), U+2028 (Line Separator), and U+2029 (Paragraph Separator). An unauthenticated remote client can place these characters in an attacker-controlled log token, for example a Basic auth username surfaced through the remote-user token, so that Unicode-aware downstream log processing splits a single request log into multiple logical records. This is a log forging issue (CWE-117) and an incomplete-fix follow-up to CVE-2026-5078, which only addressed ASCII control characters. The issue is fixed in morgan 1.12.0, which extends the escaping set to cover these Unicode line separators. Upgrade to morgan 1.12.0 to remediate.