Podatności morgan
3 znanych podatności CVE w morgan, przetłumaczonych i ocenionych.
- CVE-2026-87859Średnie
morgan to oprogramowanie pośredniczące do logowania żądań HTTP dla Node.js. W wersjach przed 1.12.1 funkcja escapeLogField() nie escapuje znaku podwójnego cudzysłowu, który ogranicza pola w formacie Apache combined log. Nieuwierzytelniony zdalny atakujący kontrolujący wartość zapisywaną w polu ujętym w cudzysłowy, taką jak nagłówek User-Agent lub Referer, może użyć cudzysłowu, aby przedwcześnie zamknąć pole, przez co konsument logów parsujący je pozycyjnie odczyta tekst dostarczony przez atakującego jako kolejne pole.
- CVE-2026-15603Średnie
Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.
- CVE-2026-5078Średnie
Morgan, popularne oprogramowanie pośredniczące do logowania w Node.js, ma podatność na fałszowanie logów. Token :remote-user wypisuje nazwę użytkownika Basic Auth bez neutralizowania znaków kontrolnych, co pozwala atakującemu wstrzyknąć fałszywe linie do logów.