CVE-2026-15603
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Morgan, middleware do logowania żądań HTTP dla Node.js, w wersjach przed 1.12.0 nie neutralizował znaków separatora linii Unicode U+0085, U+2028 i U+2029 w wartościach tokenów logów. Zdalny klient może umieścić te znaki w kontrolowanym tokenie, np. w nazwie użytkownika Basic auth, co powoduje, że proces logowania rozdziela pojedynczy wpis na wiele rekordów. Jest to problem fałszowania logów (CWE-117) i niekompletna poprawka CVE-2026-5078. Problem naprawiono w wersji 1.12.0.
Ocena ryzyka
Atakujący może sfałszować wpisy logów, co może utrudnić audyt bezpieczeństwa, ukryć ataki lub wprowadzić w błąd systemy monitorujące.
Rekomendacja
Zaktualizuj morgan do wersji 1.12.0 lub nowszej, która rozszerza zestaw znaków ucieczki o separatory linii Unicode.
Inne podatności w morgan
Zobacz wszystkie- CVE-2019-5413Krytyczne
Podatność w pakiecie npm morgan w wersjach przed 1.9.1 pozwala atakującemu na wstrzyknięcie dowolnych poleceń poprzez parametr format.
- CVE-2026-87859Średnie
morgan to oprogramowanie pośredniczące do logowania żądań HTTP dla Node.js. W wersjach przed 1.12.1 funkcja escapeLogField() nie escapuje znaku podwójnego cudzysłowu, który ogranicza pola w formacie Apache combined log. Nieuwierzytelniony zdalny atakujący kontrolujący wartość zapisywaną w polu ujętym w cudzysłowy, taką jak nagłówek User-Agent lub Referer, może użyć cudzysłowu, aby przedwcześnie zamknąć pole, przez co konsument logów parsujący je pozycyjnie odczyta tekst dostarczony przez atakującego jako kolejne pole.
- CVE-2026-5078Średnie
Morgan, popularne oprogramowanie pośredniczące do logowania w Node.js, ma podatność na fałszowanie logów. Token :remote-user wypisuje nazwę użytkownika Basic Auth bez neutralizowania znaków kontrolnych, co pozwala atakującemu wstrzyknąć fałszywe linie do logów.
Oryginalny opis (angielski, źródło NVD)
morgan is an HTTP request logger middleware for Node.js. In versions prior to 1.12.0, the internal helper that escapes log token values did not neutralize the Unicode line separator characters U+0085 (Next Line), U+2028 (Line Separator), and U+2029 (Paragraph Separator). An unauthenticated remote client can place these characters in an attacker-controlled log token, for example a Basic auth username surfaced through the remote-user token, so that Unicode-aware downstream log processing splits a single request log into multiple logical records. This is a log forging issue (CWE-117) and an incomplete-fix follow-up to CVE-2026-5078, which only addressed ASCII control characters. The issue is fixed in morgan 1.12.0, which extends the escaping set to cover these Unicode line separators. Upgrade to morgan 1.12.0 to remediate.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS