CVE-2026-87859
ŚrednieCVSS 5.3Streszczenie
morgan to oprogramowanie pośredniczące do logowania żądań HTTP dla Node.js. W wersjach przed 1.12.1 funkcja escapeLogField() nie escapuje znaku podwójnego cudzysłowu, który ogranicza pola w formacie Apache combined log. Nieuwierzytelniony zdalny atakujący kontrolujący wartość zapisywaną w polu ujętym w cudzysłowy, taką jak nagłówek User-Agent lub Referer, może użyć cudzysłowu, aby przedwcześnie zamknąć pole, przez co konsument logów parsujący je pozycyjnie odczyta tekst dostarczony przez atakującego jako kolejne pole.
Ocena ryzyka
Atakujący może sfałszować wartości w logach, takie jak status odpowiedzi, co może prowadzić do błędnej analizy i ukrycia rzeczywistych działań. Może to utrudnić wykrywanie incydentów i prowadzić do błędnych decyzji bezpieczeństwa.
Rekomendacja
Zaktualizuj morgan do wersji 1.12.1 lub nowszej. Sprawdź, czy konsumenci logów prawidłowo obsługują escapowanie cudzysłowów.
Inne podatności w morgan
Zobacz wszystkie- CVE-2026-15603Średnie
Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.
- CVE-2026-5078Średnie
Morgan, popularne oprogramowanie pośredniczące do logowania w Node.js, ma podatność na fałszowanie logów. Token :remote-user wypisuje nazwę użytkownika Basic Auth bez neutralizowania znaków kontrolnych, co pozwala atakującemu wstrzyknąć fałszywe linie do logów.
Oryginalny opis (angielski, źródło NVD)
morgan is an HTTP request logger middleware for Node.js. In versions before 1.12.1, its escapeLogField() function does not escape the double quote character, which delimits the quoted fields of the Apache combined log format that morgan emits. An unauthenticated remote attacker who controls a value written to a quoted field, such as the User-Agent or Referer header, can include a double quote to close that field early, so a log consumer that parses the log by field position reads attacker-supplied text as the following field. In the built-in formats this makes the recorded value differ from the value that was sent, and in custom formats that quote an attacker-controlled token before a server-controlled one it can forge values such as the response status. No newline is injected, so record separation stays intact. The issue is fixed in morgan 1.12.1, which escapes the double quote. Users should upgrade to morgan 1.12.1 or later.