Node.js, Java ਅਤੇ Python: ਹਾਲੀਆ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਉਪਚਾਰ ਗਾਈਡ

ਸਰੋਤਾਂ ਦੀ 23 ਅਕਤੂਬਰ 2026 ਤੱਕ ਜਾਂਚ ਕੀਤੀ ਗਈ (UTC) ਕਵਰੇਜ ਦੀ ਮਿਆਦ: 25 ਜੁਲਾਈ-ਅਕਤੂਬਰ 23, 2026, ਸਤੰਬਰ ਤੋਂ ਅਕਤੂਬਰ ਤੱਕ ਨਵੀਆਂ ਘੋਸ਼ਣਾਵਾਂ ਅਤੇ ਬਾਅਦ ਵਾਲੇ ਪੈਚਾਂ ‘ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਦੇ ਹੋਏ। Audience: ਇੰਜਨੀਅਰ ਅਤੇ ਸੁਰੱਖਿਆ ਜਵਾਬ ਦੇਣ ਵਾਲੇ ਜੋ Node.js, Java, Python ਸੇਵਾਵਾਂ, ਕੰਟੇਨਰਾਂ, ਪਾਈਪਲਾਈਨਾਂ ਬਣਾਉਣ ਅਤੇ ਵਿਕਾਸ ਦੇ ਵਾਤਾਵਰਣ ਨੂੰ ਕਾਇਮ ਰੱਖਦੇ ਹਨ।

ਇਹ ਲੇਖ Node.js, Java, ਅਤੇ Python ਰਨਟਾਈਮ, ਸਟੈਂਡਰਡ ਲਾਇਬ੍ਰੇਰੀਆਂ, ਅਤੇ ਆਮ ਸਰਵਰ ਫਰੇਮਵਰਕ ਅਤੇ ਨਿਰਭਰਤਾਵਾਂ ਵਿੱਚ ਹਾਲ ਹੀ ਦੇ ਮਹੱਤਵਪੂਰਨ ਸੁਰੱਖਿਆ ਜੋਖਮਾਂ ਦਾ ਸਾਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਪ੍ਰਭਾਵ ਦਾ ਘੇਰਾ, ਸਥਿਰ ਸੰਸਕਰਣ, ਅਸਥਾਈ ਮਿਟਾਉਣ ਦੇ ਉਪਾਅ ਅਤੇ ਪੈਚਿੰਗ ਵਿਧੀ, ਪੈਚੀਫਿਕੇਸ਼ਨ ਵਿਧੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਕੰਪੋਨੈਂਟ ਸੰਸਕਰਣਾਂ, ਸਮਰਥਿਤ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਅਤੇ ਪਹੁੰਚਯੋਗ ਐਂਟਰੀ ਪੁਆਇੰਟਾਂ ਦੇ ਵਿਰੁੱਧ ਪ੍ਰਭਾਵ ਦਾ ਮੁਲਾਂਕਣ ਕਰੋ। ਕਮਜ਼ੋਰੀ ਦੇ ਤੱਥ ਅਧਿਕਾਰਤ ਸਲਾਹਾਂ ਤੋਂ ਆਉਂਦੇ ਹਨ; ਤਾਰੀਖਾਂ ਜਨਤਕ ਖੁਲਾਸੇ ਦਾ ਹਵਾਲਾ ਦਿੰਦੀਆਂ ਹਨ ਜਦੋਂ ਤੱਕ ਕਿ ਪਹਿਲਾਂ ਦੇ ਪੈਚ ਰੀਲੀਜ਼ ਨੂੰ ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ ਨੋਟ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਅਸੀਂ ਗੈਰ-ਪੁਸ਼ਟੀ ਸ਼ੋਸ਼ਣ ਦੀਆਂ ਸਥਿਤੀਆਂ, CVSS ਸਕੋਰ ਜਾਂ ਜੰਗਲੀ ਸ਼ੋਸ਼ਣ ਦਾ ਅਨੁਮਾਨ ਨਹੀਂ ਲਗਾਉਂਦੇ ਹਾਂ। ਤੈਨਾਤੀ ਸਲਾਹ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੇ ਮਾਰਗਦਰਸ਼ਨ ਵਜੋਂ ਪਛਾਣਿਆ ਜਾਂਦਾ ਹੈ।

TL;DR: ਸੁਧਾਰ ਦੀਆਂ ਤਰਜੀਹਾਂ

ਰਨਟਾਈਮ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ ਜੋ ਅਸਲ ਵਿੱਚ ਪਹਿਲਾਂ ਸੇਵਾ ਦੀ ਮੇਜ਼ਬਾਨੀ ਕਰਦਾ ਹੈ। ਅਨੁਸਾਰੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ Node.js ਘੱਟੋ-ਘੱਟ ਤੱਕ ਸ਼ਾਖਾ 22.23.4 / 24.22.1 / 26.12.1 . ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ Node 24 ਤੱਕ ਅੱਪਗਰੇਡ ਕਰ ਸਕਦੇ ਹਨ 24.22.1 ਉਸੇ ਮੁੱਖ ਸੰਸਕਰਣ ਜਾਂ ਬਾਅਦ ਵਾਲੇ ਸੰਸਕਰਣ ਦੇ ਅੰਦਰ ਜਿਸ ਵਿੱਚ ਇੱਕੋ ਜਿਹੇ ਫਿਕਸ ਸ਼ਾਮਲ ਹਨ। S1 S2
ਅੱਪਡੇਟ ਕਰੋ Node ਐਪਲੀਕੇਸ਼ਨ ਨਿਰਭਰਤਾ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ। ਲਈ Next.js , ਵਰਤੋ 15.5.28 / 16.4.1 ਅੱਪਗਰੇਡ ਬੇਸਲਾਈਨ ਦੇ ਤੌਰ ਤੇ; ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ React Server Components ਸੁਤੰਤਰ ਤੌਰ ‘ਤੇ, ਅਸਲ ਇੰਸਟਾਲ ਦੀ ਜਾਂਚ ਕਰੋ react-server-dom-* ਪੈਕੇਜ. ਸਿਰਫ਼ ਅੱਪਡੇਟ ਕਰ ਰਿਹਾ ਹੈ Node ਬਾਈਨਰੀ ਇਹਨਾਂ ਫਰੇਮਵਰਕ ਦੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦੀ ਹੈ। S8 S9 S10 S11 S12
Java : ਅੱਪਡੇਟ ਦੇ ਦੋਨੋ ਦੌਰ ਨੂੰ ਕਵਰ. 20 ਅਕਤੂਬਰ ਦੋਵਾਂ ਨੂੰ ਕਵਰ ਕਰਨ ਵਾਲਾ ਵਿਕਰੇਤਾ ਬਿਲਡ ਸਥਾਪਿਤ ਕਰੋ CPU ਅਤੇ ਅਕਤੂਬਰ 21 CVE-2026-91403 ਐਮਰਜੈਂਸੀ ਸਰਟੀਫਿਕੇਟ-ਟਰੱਸਟ ਫਿਕਸ। ਭਾਗ ਵੇਖੋ 2.2 ਲਈ Oracle JDK 11 -27 ਆਊਟ-ਆਫ-ਬੈਂਡ ਸੰਸਕਰਣ; ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਸੁਰੱਖਿਆ ਪੈਕੇਜਾਂ ਅਤੇ ਪੂਰੇ ਬਿਲਡ ਨੰਬਰਾਂ ਦੇ ਵਿਰੁੱਧ ਹੋਰ ਵੰਡਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ। ਅਨੁਸਾਰੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ Tomcat ਨੂੰ ਸ਼ਾਖਾ 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
Python : ਦੁਭਾਸ਼ੀਏ, ਐਪਲੀਕੇਸ਼ਨ ਪੈਕੇਜ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪੈਕੇਜ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ ਕਰੋ। ਭਾਗ ਵੇਖੋ 2.3 ਦੁਭਾਸ਼ੀਏ ਬੇਸਲਾਈਨ ਲਈ; certifi ਦੀ ਸਿਫ਼ਾਰਿਸ਼ ਕਰਦਾ ਹੈ ≥ 2026.10.19 , pip ≥ 26.2.2 , ਵਰਤਣ ਵੇਲੇ uv ≥ 0.13.4 . ਹਰ ਮੌਜੂਦਾ venv ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਲਈ wrap_bio() ਸੰਬੰਧਿਤ ਕੋਡ, ਸਹੀ ਅਤੇ ਗੈਰ-ਖਾਲੀ server_hostname ਵਿੱਚ ਵੀ ਪਾਸ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। S29 S30 S31 S33 S35 S36 S37
ਜੇਕਰ ਤੁਰੰਤ ਅੱਪਗ੍ਰੇਡ ਕਰਨਾ ਅਸੰਭਵ ਹੈ, ਤਾਂ ਸੰਬੰਧਿਤ ਐਂਟਰੀ ਪੁਆਇੰਟਾਂ ‘ਤੇ ਐਕਸਪੋਜਰ ਨੂੰ ਘਟਾਓ। ਅਵਿਸ਼ਵਾਸ ਨੂੰ ਰੋਕਣ ਨੂੰ ਤਰਜੀਹ ਦਿਓ Brotli ਡੀਕੋਡਿੰਗ, ਪ੍ਰਭਾਵਿਤ ਚਿੱਤਰ/ਪੇਜਿੰਗ/ਆਰਕਾਈਵਿੰਗ ਪ੍ਰੋਸੈਸਿੰਗ, ਅਤੇ ਸਮੱਸਿਆ ਨੂੰ ਅਲੱਗ ਕਰਨਾ LDAP ਜਾਂ ਪ੍ਰਮਾਣਿਕਤਾ ਇੰਦਰਾਜ਼; ਰੱਖਣਾ TLS ਪ੍ਰਮਾਣ-ਪੱਤਰ ਅਤੇ ਹੋਸਟਨਾਮਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ। ਅੰਦਰ ਵੱਲ WAF ਆਊਟਬਾਉਂਡ ਮਾਰਗਾਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਐਪਲੀਕੇਸ਼ਨਾਂ ਖਤਰਨਾਕ ਸੰਕੁਚਿਤ ਜਵਾਬਾਂ ਨੂੰ ਖਿੱਚਦੀਆਂ ਹਨ। S3 S11 S25 S27 S30 S32
ਦੁਬਾਰਾ ਬਣਾਓ, ਪੁਰਾਣੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਬਦਲੋ, ਅਤੇ ਅਸਲ ਸੇਵਾ ਮਾਰਗਾਂ ਦੁਆਰਾ ਤਸਦੀਕ ਕਰੋ। ਲੌਕ ਫਾਈਲ ਅਤੇ ਚਿੱਤਰ ਡਾਈਜੈਸਟ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰੋ, ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਚਿੱਤਰ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ, ਸਾਰੇ ਕਰਮਚਾਰੀਆਂ ਲਈ ਬਦਲਾਵ ਰੋਲ ਆਊਟ ਕਰੋ/ JVM /ਕੰਟੇਨਰ; ਅਸਲ ਪ੍ਰਕਿਰਿਆ, ਨਿਰਭਰਤਾ ਰੁੱਖ, ਟਰੱਸਟ ਸਟੋਰ ਅਤੇ ਵਪਾਰਕ ਰਿਗਰੈਸ਼ਨ ਟੈਸਟਾਂ ਦੀ ਜਾਂਚ ਕਰੋ। ਇੱਕ ਨਵਾਂ ਕਮਾਂਡ-ਲਾਈਨ ਸੰਸਕਰਣ ਇਹ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦਾ ਹੈ ਕਿ ਉਪਚਾਰ ਪੂਰਾ ਹੋ ਗਿਆ ਹੈ।
I ਜੇ LiteLLM 1.107.0 ਸਥਾਪਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਜਾਂ ਚਲਾਇਆ ਗਿਆ ਸੀ, ਤਾਂ ਘਟਨਾ-ਜਵਾਬ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ। ਪ੍ਰੋਜੈਕਟ ਨੇ 21 ਅਕਤੂਬਰ ਨੂੰ ਰਿਲੀਜ਼ ਸਮਝੌਤੇ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ। ਪ੍ਰਭਾਵਿਤ ਵਾਤਾਵਰਣਾਂ ਨੂੰ ਅਲੱਗ ਕਰੋ, ਸਾਫ਼ ਵਾਤਾਵਰਣ ਤੋਂ ਜਾਂਚ ਕਰੋ, ਪ੍ਰਗਟ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ ਅਤੇ ਘੁੰਮਾਓ। ਪਹਿਲਾਂ ਜਾਂਚ ਕਰਨ ਲਈ ਸ਼ੱਕੀ ਮਾਹੌਲ ਵਿੱਚ Python/pip ਸ਼ੁਰੂ ਨਾ ਕਰੋ। ਵੇਰਵਿਆਂ ਲਈ ਸੈਕਸ਼ਨ 9 ਦੇਖੋ। S41

1. ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਸੰਖੇਪ ਜਾਣਕਾਰੀ ਅਤੇ ਜੋਖਮ ਮੁਲਾਂਕਣ

1.1 ਅਸਲ ਐਕਸਪੋਜਰ ਦੁਆਰਾ ਉਪਚਾਰ ਨੂੰ ਤਰਜੀਹ ਦਿਓ

ਹੇਠਾਂ ਤੈਨਾਤੀ ਦੀਆਂ ਤਰਜੀਹਾਂ ਲਾਗੂ ਕਰਨ ਲਈ ਮਾਰਗਦਰਸ਼ਨ ਹਨ। ਗੰਭੀਰਤਾ ਲੇਬਲ ਹਰੇਕ ਵਿਕਰੇਤਾ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ Apache ਦੀ Important ਰੇਟਿੰਗ ਸ਼ਾਮਲ ਹੈ। CVSS 3.1 ਅਤੇ 4.0 ਵੱਖ-ਵੱਖ ਸਕੋਰਿੰਗ ਸਿਸਟਮ ਹਨ; ਇਕੱਲੇ ਸਕੋਰ ਦੁਆਰਾ ਉਹਨਾਂ ਵਿੱਚ ਮੁੱਦਿਆਂ ਨੂੰ ਦਰਜਾ ਨਾ ਦਿਓ।

ਈਕੋਸਿਸਟਮ / ਪਰਤ	ਮੁੱਖ ਮੁੱਦੇ	ਅਧਿਕਾਰਤ ਗ੍ਰੇਡ ਜਾਂ ਪ੍ਰਮਾਣਿਤ ਸਕੋਰ	ਤਰਜੀਹੀ ਤੈਨਾਤੀ
Node.js ਮੂਲ ਨਿਰਭਰਤਾ	CVE-2026-111497: Brotli ਹੱਦ ਤੋਂ ਬਾਹਰ ਲਿਖਿਆ ਗਿਆ ਹੈ, ਅਤੇ RCE ਦਾ ਜੋਖਮ ਹੈ	Node：High	ਬਾਹਰੀ ਬੇਨਤੀ ਬਾਡੀ ਜਾਂ ਬਾਹਰੀ ਜਵਾਬ ਵਿੱਚ Brotli ਡੇਟਾ S1 S3 ਡੀਕੋਡ ਕਰੋ
Node.js TLS / DNS	CVE-2026-105482, 105483, 106069: ਪਾਰਸਿੰਗ ਅਤੇ ਪਛਾਣ ਤਸਦੀਕ ਅਸੰਗਤ ਹਨ	High	URL ਕ੍ਰੌਲ, ਪ੍ਰੌਕਸੀ, Webhook, ਡਾਇਨਾਮਿਕ ਟੀਚਾ ਪਤਾ S1 S5 S6
Node.js HTTP/2	CVE-2026-56846, 56848: ਮੈਮੋਰੀ ਖਤਮ ਹੋ ਗਈ ਹੈ ਅਤੇ UAF	High	Node ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਗੈਰ-ਭਰੋਸੇਯੋਗ HTTP/2 ਟ੍ਰੈਫਿਕ ਨੂੰ ਸੰਭਾਲਦਾ ਹੈ S7
React / Next.js	RSC / `use cache` typed arrays RCE	Critical；CVSS 4.0 9.5	ਸਰਵਰ RSC, ਸੰਬੰਧਿਤ ਕੈਸ਼ ਭਾਗ ਅਤੇ ਡਾਟਾ ਮਾਰਗ S9 S10
Next.js ਚਿੱਤਰ ਅਨੁਕੂਲਨ	CVE-2026-96889: SVG ਚਿੱਤਰ ਪ੍ਰੋਸੈਸਿੰਗ RCE	Critical；CVSS 4.0 9.5	glibc Linux ‘ਤੇ ਉਦਾਹਰਨਾਂ ਜੋ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਚਿੱਤਰਾਂ ਨੂੰ ਸੰਭਾਲ ਸਕਦੀਆਂ ਹਨ S11
Next.js Server Actions	ਵਿਸ਼ੇਸ਼ ਤੌਰ ‘ਤੇ ਤਿਆਰ ਕੀਤੀ ਬੇਨਤੀ CPU ਨੂੰ ਖਤਮ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣਦੀ ਹੈ	High；CVSS 4.0 8.2	App Router ਅਤੇ ਘੱਟੋ-ਘੱਟ ਇੱਕ Server Action S12
Java TLS ਟਰੱਸਟ	CVE-2026-91403: ਪ੍ਰਭਾਵਿਤ ਵਿਚਕਾਰਲੇ CA ‘ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਜਾਰੀ ਰੱਖੋ	CVSS 3.1 9.1	TLS/API ਦ੍ਰਿਸ਼ S17 ਪ੍ਰਭਾਵਿਤ ਟਰੱਸਟ ਚੇਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ
Tomcat	JNDIRealm ਪ੍ਰਮਾਣਿਕਤਾ ਬਾਈਪਾਸ, HTTP/2 ਕਰਾਸ-ਬੇਨਤੀ ਮਿਕਸ-ਅੱਪ, AJP ਜਵਾਬ ਲੀਕ	Important	Realm / Connector / async Servlet ਮਾਰਗ S21 S22 S23 ਨਾਲ ਸੰਬੰਧਿਤ
Spring for GraphQL	CVE-2026-59285: ਪੇਜਿੰਗ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ RCE	High	Jackson 2 + Connection ਪੇਜਿੰਗ + ਸ਼ੋਸ਼ਣਯੋਗ ਕਲਾਸਪਾਥ S25
Spring Security	CVE-2026-59270: ਏਮਬੈਡਡ LDAP ਜਾਣੀ ਜਾਂਦੀ ਪ੍ਰਬੰਧਨ ਪਛਾਣ ਦਾ ਖੁਲਾਸਾ ਹੋਇਆ	Critical	ਏਮਬੈਡਡ LDAP ਸਮਰਥਿਤ ਹੈ ਅਤੇ ਸੁਣਨ ਵਾਲੀ ਪੋਰਟ ਹਮਲਾਵਰ S27 ਲਈ ਪਹੁੰਚਯੋਗ ਹੈ
CPython `ssl`	CVE-2026-19445: SNI ਪ੍ਰਸੰਗ ਬਦਲਣ ਦੇ ਨਤੀਜੇ UAF ਵਿੱਚ	Critical	Python ਆਪਣੇ ਆਪ TLS ਨੂੰ ਖਤਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਸੰਦਰਭ ਜੀਵਨ ਚੱਕਰ ਸਥਿਤੀ S29 ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ
CPython `ssl`	CVE-2026-19553: ਜਦੋਂ ਹੋਸਟਨਾਮ ਗੁੰਮ ਹੋਵੇ ਤਾਂ ਪੁਸ਼ਟੀਕਰਨ ਛੱਡੋ	High	`wrap_bio()` / ਸੰਬੰਧਿਤ ਅਸਿੰਸੀਓ ਕਾਲ ਗੁੰਮ ਸੰਭਾਵਿਤ ਹੋਸਟਨਾਮ S30
CPython `tarfile`	CVE-2026-82049: ਹਾਰਡ ਲਿੰਕ ਅਤੇ ਸਿੰਬਲਿਕ ਲਿੰਕ ਸੁਮੇਲ ਬਾਈਪਾਸ	High	ਸਵੈਚਲਿਤ ਤੌਰ ‘ਤੇ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਟਾਰ ਆਰਕਾਈਵ S32 ਨੂੰ ਐਕਸਟਰੈਕਟ ਕਰੋ
Django / GeoDjango	CVE-2026-15307: ਸਥਾਨਿਕ ਪੁੱਛਗਿੱਛ ਲਿਖਣ ਵਾਲੀ ਫਾਈਲ, SSRF, RCE ਸਥਿਤੀ ਦੇ ਅਧੀਨ	High	ਸਥਾਨਿਕ ਸਵਾਲ ਜਾਂ ਸੰਬੰਧਿਤ ਪ੍ਰਸ਼ਾਸਨ ਇੰਟਰਫੇਸ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਇਨਪੁਟ S38 ਨੂੰ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ
Python ਸਰਟੀਫਿਕੇਟ ਨਿਰਭਰਤਾ	certifi: emSign ਸੰਬੰਧਿਤ ਸਰਟੀਫਿਕੇਟ ਅਵਿਸ਼ਵਾਸ	Critical; GHSA, ਕੋਈ ਨਹੀਂ ਜਾਣਿਆ CVE	TLS ਕਲਾਇੰਟ ਅਤੇ ਪੈਕੇਜ ਪ੍ਰਬੰਧਨ ਟੂਲ S36 S37 ਅਜੇ ਵੀ ਪ੍ਰਭਾਵਿਤ CA bundle ਦੀ ਵਰਤੋਂ ਕਰ ਰਿਹਾ ਹੈ

ਸੰਖੇਪ ਰੂਪ: RCE ਦਾ ਅਰਥ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਹੈ, UAF ਦਾ ਅਰਥ ਹੈ ਵਰਤੋਂ-ਬਾਅਦ-ਮੁਕਤ, ਅਤੇ SSRF ਦਾ ਅਰਥ ਹੈ ਸਰਵਰ-ਸਾਈਡ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ। RCE ਦੀਆਂ ਸਿੱਧੀਆਂ ਇਜਾਜ਼ਤਾਂ ਆਮ ਤੌਰ ‘ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਮੇਜ਼ਬਾਨੀ ਕਰਨ ਵਾਲੀ ਪ੍ਰਕਿਰਿਆ ਦੀਆਂ ਅਨੁਮਤੀਆਂ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਆਪਣੇ ਆਪ ਰੂਟ ਅਨੁਮਤੀਆਂ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੋ ਸਕਦੀਆਂ।

ਸਿਫ਼ਾਰਸ਼ੀ ਕ੍ਰਮ: ਪਹਿਲਾਂ RCE ਹੈਂਡਲ ਕਰਦਾ ਹੈ, ਜੋ ਬਾਹਰੀ ਤੌਰ ‘ਤੇ ਪਹੁੰਚਯੋਗ ਹੈ ਅਤੇ ਸ਼ਰਤਾਂ, ਪ੍ਰਮਾਣੀਕਰਨ ਬਾਈਪਾਸ, ਕਰਾਸ-ਯੂਜ਼ਰ ਡੇਟਾ ਲੀਕੇਜ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣੀਕਰਨ ਮੁੱਦਿਆਂ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ; ਇਸ ਦੇ ਨਾਲ ਹੀ, ਜਨਤਕ-ਸਾਹਮਣੇ ਵਾਲੇ DoS ਐਂਟਰੀ ਪੁਆਇੰਟ ਲਈ ਅਨੁਸੂਚਿਤ ਅਪਡੇਟਸ। ਸ਼ੋਸ਼ਣ ਸਾਬਤ ਕਰਨ ਲਈ ਉਤਪਾਦਨ ਵਿੱਚ ਅਟੈਕ ਪੇਲੋਡ ਚਲਾਉਣ ਦੀ ਕੋਈ ਲੋੜ ਨਹੀਂ। ਨਿਰਭਰਤਾ ਮੌਜੂਦ ਹੈ, ਕੋਡ ਮਾਰਗ ਪਹੁੰਚਯੋਗ ਹਨ, ਅਤੇ ਹਮਲੇ ਦੀਆਂ ਸ਼ਰਤਾਂ ਪੂਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਇਹ ਤਿੰਨ ਮੁੱਦੇ ਹਨ ਜਿਨ੍ਹਾਂ ਦੀ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।

1.2 ਤਿੰਨ ਆਸਾਨੀ ਨਾਲ ਉਲਝਣ ਵਾਲੀਆਂ ਸੀਮਾਵਾਂ

ਰਨਟਾਈਮ ਅਤੇ ਨਿਰਭਰਤਾ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਗ੍ਰੇਡ ਕਰੋ। ਲਈ ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ Node , JDK , CPython ਦੀ ਇਕੱਲੀ ਸਥਾਪਨਾ ਨੂੰ ਆਪਣੇ ਆਪ ਮੁਰੰਮਤ ਨਹੀਂ ਕਰਦਾ ਹੈ Next.js , Spring , Django , certifi ਜਾਂ ਮੂਲ ਐਕਸਟੈਂਸ਼ਨ।
ਦ ਰੀਮੀਡੀਏਸ਼ਨ ਥ੍ਰੈਸ਼ਹੋਲਡ ਮੌਜੂਦਾ ਡਿਪਲਾਇਮੈਂਟ ਬੇਸਲਾਈਨ ਤੋਂ ਵੱਖਰਾ ਹੈ। ਅਗਸਤ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਲਈ ਪਹਿਲਾ ਪੈਚ ਸਤੰਬਰ ਤੋਂ ਅਕਤੂਬਰ ਤੱਕ ਨਵੇਂ ਮੁੱਦਿਆਂ ਨੂੰ ਕਵਰ ਕਰਨ ਦੀ ਗਰੰਟੀ ਨਹੀਂ ਹੈ; ਸੈਕਸ਼ਨ 2 ਲਾਗੂਕਰਨ ਟੀਚੇ ਦੇ ਤੌਰ ‘ਤੇ ਪ੍ਰਮਾਣਿਤ ਬਾਅਦ ਦੇ ਅੱਪਡੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ।
ਅਸਲ ਸਪਲਾਈ-ਚੇਨ ਸਮਝੌਤੇ ਤੋਂ ਕਮਜ਼ੋਰੀ ਨੂੰ ਵੱਖਰਾ ਕਰੋ। ਆਮ ਕਮਜ਼ੋਰੀਆਂ ਲਈ, ਪੈਚ ਭਵਿੱਖ ਦੇ ਹਮਲੇ ਦੇ ਮਾਰਗਾਂ ਨੂੰ ਖਤਮ ਕਰਦੇ ਹਨ; ਜਦੋਂ ਖ਼ਰਾਬ ਪੈਕੇਜ ਚਲਾਏ ਜਾਂਦੇ ਹਨ, ਤਾਂ ਪ੍ਰਮਾਣ ਪੱਤਰ ਅਤੇ ਸਥਿਰਤਾ ਦੇ ਪ੍ਰਭਾਵ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਸੈਕਸ਼ਨ 9 LiteLLM ਅਧਿਕਾਰਤ ਤੌਰ ‘ਤੇ ਪੁਸ਼ਟੀ ਕੀਤੀ ਘਟਨਾ ਹੈ। S41

ਕੀ ਜੰਗਲੀ ਵਿੱਚ ਸ਼ੋਸ਼ਣ ਦੀ ਪੁਸ਼ਟੀ ਹੋਈ ਹੈ, ਇਹ ਅਧਿਕਾਰਤ ਖੁਲਾਸਿਆਂ ‘ਤੇ ਅਧਾਰਤ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਵਿਕਰੇਤਾ ਨੇ ਸ਼ੋਸ਼ਣ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ ਕੀਤਾ ਅਤੇ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਕਿ ਕੋਈ ਹਮਲਾ ਨਹੀਂ ਹੈ; ਉਪਚਾਰ ਅਸਲ ਹਮਲੇ ਦੀ ਸਤਹ ਦੇ ਅਧਾਰ ਤੇ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

2. ਸਥਿਰ ਸੰਸਕਰਣ ਅਤੇ ਤੈਨਾਤੀ ਬੇਸਲਾਈਨ ਦੀ ਤੁਰੰਤ ਜਾਂਚ

ਹਵਾਲਾ: 2.1 Node.js、React、Next.js

ਕੰਪੋਨੈਂਟ/ਸ਼ਾਖਾ	ਸਿਫ਼ਾਰਸ਼ੀ ਵਰਜਨ ਬੇਸਲਾਈਨ	ਵਰਤਣ ਲਈ ਨਿਰਦੇਸ਼
Node.js 22.x	22.23.4	21 ਅਕਤੂਬਰ ਨੂੰ ਸੁਰੱਖਿਆ ਰਿਲੀਜ਼ S1 S2
Node.js 24.x	24.22.1	24.x ਸ਼ਾਖਾ ‘ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ; 24.22.0 ਵਿੱਚ 21 ਅਕਤੂਬਰ ਦਾ ਸੁਰੱਖਿਆ ਪੈਚ ਸ਼ਾਮਲ ਨਹੀਂ ਹੈ S1 S2
Node.js 26.x	26.12.1	ਉਸੇ ਬੈਚ S1 S2 ਵਿੱਚ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼
Node.js 20 ਅਤੇ ਪਹਿਲਾਂ ਦੀਆਂ ਅਪਸਟ੍ਰੀਮ ਸ਼ਾਖਾਵਾਂ	ਇੱਕ ਸਮਰਥਿਤ ਸ਼ਾਖਾ ਵਿੱਚ ਮਾਈਗਰੇਟ ਕਰੋ	Node 20 ਇਸ ਅੱਪਸਟ੍ਰੀਮ ਫਿਕਸ ਨੂੰ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦਾ ਹੈ; ਵਿਕਰੇਤਾ ਵਿਸਤ੍ਰਿਤ ਸਹਾਇਤਾ ਦੀ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ S3 ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ
Next.js 15.x	15.5.28	14 ਅਕਤੂਬਰ S8 ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ
Next.js 16.x	16.4.1	ਉਪਰੋਕਤ S8 ਵਾਂਗ ਹੀ
ਸਟੈਂਡਅਲੋਨ RSC 19.0 / 19.1 / 19.2 / 19.3 ਸ਼ਾਖਾ	19.0.9 / 19.1.10 / 19.2.9 / 19.3.1	ਤਿੰਨ `react-server-dom-*` ਪੈਕੇਜਾਂ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਚੈੱਕ ਕਰੋ; ਸਿਰਫ਼ ਉੱਪਰਲੀ ਪਰਤ ਨੂੰ ਨਾ ਦੇਖੋ `react` S10
Next ਨੇ ਅਸਲ ਵਿੱਚ `sharp` ਲੋਡ ਕੀਤਾ ਹੈ	≥0.35.5	SVG ਕਮਜ਼ੋਰੀ ਲਈ ਅਧਿਕਾਰਤ ਅਸਥਾਈ ਫਿਕਸ ਸ਼ਰਤਾਂ; ਹੋਰ Next.js ਪੈਚ S11 ਨੂੰ ਨਹੀਂ ਬਦਲਦਾ ਹੈ

Node ਅਧਿਕਾਰਤ ਤੌਰ ‘ਤੇ ਅਕਤੂਬਰ ਦੀ ਕਮਜ਼ੋਰੀ ਲਈ ਪ੍ਰਭਾਵਿਤ ਰੱਖ-ਰਖਾਅ ਸ਼ਾਖਾਵਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਪਰ ਆਈਟਮ ਦੁਆਰਾ ਸ਼ੁਰੂਆਤੀ ਤੌਰ ‘ਤੇ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਪੈਚ ਸੰਸਕਰਣ ਆਈਟਮ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦਾ ਹੈ, ਇਸਲਈ ਹਰੇਕ ਕਮਜ਼ੋਰੀ ਦਾ ਸਹੀ ਸ਼ੁਰੂਆਤੀ ਸੰਸਕਰਣ ਇਕੱਲੇ ਰੱਖ-ਰਖਾਅ ਸ਼ਾਖਾ ਰੇਂਜ ਦੇ ਅਧਾਰ ‘ਤੇ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਤੈਨਾਤ ਕਰਦੇ ਸਮੇਂ, ਉਸੇ ਸ਼ਾਖਾ ਦੇ ਉਪਰੋਕਤ ਸੰਸਕਰਣ ਦੀ ਵਰਤੋਂ ਕਰਨ ਨੂੰ ਪਹਿਲ ਦਿਓ ਜਾਂ ਉਹੀ ਫਿਕਸ ਸ਼ਾਮਲ ਕਰਨ ਲਈ ਪੁਸ਼ਟੀ ਕੀਤੇ ਗਏ ਅਗਲੇ ਸੰਸਕਰਣ ਦੀ ਵਰਤੋਂ ਕਰੋ।

2.2 Java: ਅਕਤੂਬਰ CPU ਪਲੱਸ ਆਊਟ-ਆਫ-ਬੈਂਡ ਸਰਟੀਫਿਕੇਟ ਅੱਪਡੇਟ

ਇਹ ਸਾਰਣੀ Oracle JDK ‘ਤੇ ਲਾਗੂ ਹੁੰਦੀ ਹੈ। ਦੂਜਾ ਕਾਲਮ ਸਿਰਫ ਅਕਤੂਬਰ 20 CPU ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ; ਤੀਜੇ ਵਿੱਚ 21 ਅਕਤੂਬਰ ਦੀ ਬੈਂਡ ਤੋਂ ਬਾਹਰ ਦੀ ਰਿਲੀਜ਼ ਸ਼ਾਮਲ ਹੈ। ਇਕੱਲੇ CPU ਸੰਸਕਰਣ ਇੱਥੇ ਚਰਚਾ ਕੀਤੇ ਗਏ ਸਾਰੇ Java ਜੋਖਮਾਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦੇ ਹਨ। S16 S17 S18

ਸ਼ਾਖਾ	ਅਕਤੂਬਰ 20 CPU	Oracle 21 ਅਕਤੂਬਰ ਨੂੰ ਬੈਂਡ ਤੋਂ ਬਾਹਰ ਰਿਲੀਜ਼ ਹੋਇਆ
11	11.0.33	11.0.33.0.2
17	17.0.21	17.0.21.0.2
21	21.0.13	21.0.13.0.2
25	25.0.5	25.0.5.0.2
27	27.0.1	27.0.1.0.2
8	8u511	ਜਨਤਕ ਰਿਲੀਜ਼ ਸਾਰਣੀ ਅਜੇ ਵੀ 8u511 ਦਿਖਾਉਂਦਾ ਹੈ; ਖਾਸ ਸੁਰੱਖਿਆ ਬਿਲਡ ਅਤੇ ਟਰੱਸਟ ਚੇਨ ਮੁਰੰਮਤ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਇਕੱਲੇ ਛੋਟੇ ਸੰਸਕਰਣ ਨੰਬਰ ਦੇ ਆਧਾਰ ‘ਤੇ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ

**Java 8 ਦੀ ਪੂਰੀ ਬਿਲਡ ਜਾਣਕਾਰੀ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ:**Oracle ਚੇਤਾਵਨੀ 8u511 ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਸੰਸਕਰਣ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ, ਅਤੇ ਰੀਲੀਜ਼ ਸੂਚੀ ਉਸੇ ਛੋਟੇ ਨਾਮ ਦੇ ਨਾਲ ਅਗਲੇ ਅੱਪਡੇਟਾਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰਦੀ ਹੈ। ਪੈਚ ਸਥਿਤੀ ਨੂੰ ਸਿਰਫ਼ “8u511” ਛੋਟੇ ਸੰਸਕਰਣ ਨੰਬਰ ਦੇ ਆਧਾਰ ‘ਤੇ ਵੱਖਰਾ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਤੁਹਾਨੂੰ ਖਾਸ ਸੁਰੱਖਿਆ ਬਿਲਡ ਅਤੇ ਟਰੱਸਟ ਚੇਨ ਫਿਕਸ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। S17 S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , ਰੀਲੀਜ਼ ਵਰਜਨ OpenJDK , ਆਦਿ, ਉਹਨਾਂ ਦੀਆਂ ਸੰਬੰਧਿਤ ਘੋਸ਼ਣਾਵਾਂ ਅਤੇ ਪੂਰੇ ਪੈਕੇਜ/ਬਿਲਡ ਨੰਬਰਾਂ ਦੇ ਅਨੁਸਾਰ ਜਾਂਚ ਕਰੋ। ਉਦਾਹਰਨ ਲਈ, ਦਾ ਅਧਿਕਾਰਤ ਰੀਲੀਜ਼ ਰਿਕਾਰਡ Adoptium ਦੱਸਦਾ ਹੈ ਕਿ ਸੰਬੰਧਿਤ ਬਿਲਡ ਨੂੰ ਜੋੜਨ ਲਈ ਦੁਬਾਰਾ ਪੈਕ ਕੀਤਾ ਗਿਆ ਹੈ eMudhra ਠੀਕ ਕਰਨਾ; ਅੱਪਸਟਰੀਮ ਵਰਜਨ ਦੇ ਇੱਕੋ ਨਾਮ ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਪੈਕੇਜ ਸਮੱਗਰੀ ਇੱਕੋ ਜਿਹੀ ਹੈ। ਦ .0.2 ਲਈ ਪਿਛੇਤਰ ਨਿਯਮ Oracle ਮਸ਼ੀਨੀ ਤੌਰ ‘ਤੇ ਦੂਜੇ ਪ੍ਰਕਾਸ਼ਕਾਂ ‘ਤੇ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ। S20

Java ਐਪਲੀਕੇਸ਼ਨ ਕੰਪੋਨੈਂਟ	ਸਿਫ਼ਾਰਸ਼ੀ ਵਰਜਨ ਬੇਸਲਾਈਨ	ਟਿੱਪਣੀਆਂ
Tomcat 9 / 10.1 / 11	9.0.123 / 10.1.61 / 11.0.27	ਬ੍ਰਾਂਚ ਦੁਆਰਾ ਬ੍ਰਾਂਚ ਦੀ ਜਾਂਚ ਕਰੋ; Tomcat 10.0 ਨੇ ਰੱਖ-ਰਖਾਅ ਬੰਦ ਕਰ ਦਿੱਤਾ ਹੈ S21 S22 S23
Spring for GraphQL 2.0.x	2.0.5（OSS）	ਵਪਾਰਕ ਸਹਾਇਤਾ ਵੀ 2.0.4.1 S25 ਹੈ
Spring Security 7.1 / 7.0	7.1.1 / 7.0.7（OSS）	ਅਗਸਤ ਵਿੱਚ ਐਲਾਨੇ ਗਏ ਘੱਟੋ-ਘੱਟ ਫਿਕਸ ਸੰਸਕਰਣ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ; ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ ਤੁਹਾਨੂੰ ਅਗਲੇ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ S27 S28 ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ
Spring Security 6.5 / 6.4 / 5.8 / 5.7	6.5.12 / 6.4.19 / 5.8.28 / 5.7.26	ਘੋਸ਼ਣਾ ਨੂੰ ਇੱਕ ਵਪਾਰਕ ਸਹਾਇਤਾ ਫਿਕਸ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ; ਮਾਈਗ੍ਰੇਸ਼ਨ ਦਾ ਮੁਲਾਂਕਣ ਉਦੋਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਅਨੁਸਾਰੀ ਸਹਾਇਤਾ ਨਹੀਂ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਇਹ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ Maven Central ਮੁਫ਼ਤ S27 ਲਈ ਉਪਲਬਧ ਹੈ

Spring ਅੱਪਗਰੇਡਾਂ ਨੂੰ ਪ੍ਰੋਜੈਕਟ ਦੇ Spring Boot BOM, Java ਨਿਊਨਤਮ ਸੰਸਕਰਣ ਅਤੇ ਅਨੁਕੂਲਤਾ ਲਾਈਨਾਂ ਦਾ ਆਦਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਸਿਰਫ਼ ਇੱਕ ਪੈਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਸਾਰੇ Spring ਮੋਡੀਊਲਾਂ ਨੂੰ ਇੱਕੋ ਨੰਬਰ ‘ਤੇ ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਮਜਬੂਰ ਨਾ ਕਰੋ।

2.3 CPython, Django ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਨਿਰਭਰਤਾਵਾਂ

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਦਾ ਦੂਜਾ ਕਾਲਮ ਸਤੰਬਰ ਵਿੱਚ ਪ੍ਰਗਟ ਕੀਤੇ TLS ਮੁੱਦੇ ‘ਤੇ ਕੇਂਦਰਿਤ ਹੈ; tarfile ਲਈ ਸ਼ਾਖਾ ਅੰਤਰ ਸੈਕਸ਼ਨ 5.3. ਵਿੱਚ ਦਿਖਾਏ ਗਏ ਹਨ ਅਕਤੂਬਰ 21 ਦੇ ਰੀਲੀਜ਼ਾਂ ਨੇ ਬੰਡਲ ਸਰਟੀਫਿਕੇਟ ਟੂਲਿੰਗ ਨੂੰ ਵੀ ਅੱਪਡੇਟ ਕੀਤਾ ਹੈ, ਇਸਲਈ ਆਖਰੀ ਕਾਲਮ ਵਿੱਚ ਉਹ ਬਾਅਦ ਦੀਆਂ ਤੈਨਾਤੀ ਬੇਸਲਾਈਨਾਂ ਸ਼ਾਮਲ ਹਨ। S29 S30 S33 S35

CPython ਸ਼ਾਖਾ	ਸਤੰਬਰ ਸੁਰੱਖਿਆ ਬੈਚ ਦਾ ਨਿਊਨਤਮ ਸੰਸਕਰਣ	ਸਿਫ਼ਾਰਸ਼ੀ ਤੈਨਾਤੀ ਬੇਸਲਾਈਨ
3.10	3.10.22	ਅੱਪਸਟ੍ਰੀਮ ਤੋਂ ਆਖਰੀ ਰੀਲੀਜ਼, EOL; ਮਾਈਗ੍ਰੇਸ਼ਨ ਦਾ ਪ੍ਰਬੰਧ ਕਰੋ ਜਾਂ ਰੀਲੀਜ਼ ਐਕਸਟੈਂਸ਼ਨ ਸਮਰਥਨ S34 ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ
3.11	3.11.17	3.11.17, ਅਤੇ ਹਰੇਕ ਵਾਤਾਵਰਣ ਵਿੱਚ pip/certifi ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ ਕਰੋ
3.12	3.12.15	3.12.15, ਅਤੇ ਹਰੇਕ ਵਾਤਾਵਰਣ ਵਿੱਚ pip/certifi ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ ਕਰੋ
3.13	3.13.16	3.13.17
3.14	3.14.8	3.14.9
3.15	ਅੰਤਮ 3.15.0 ਰੀਲੀਜ਼ ਵਿੱਚ TLS ਦੋਨੋ S31 S47 ਫਿਕਸ ਸ਼ਾਮਲ ਹਨ	3.15.1

3.11 ਅਤੇ 3.12 ਦੇ ਅੱਪਸਟਰੀਮ ਸੁਰੱਖਿਆ ਸੰਸਕਰਣ ਸਿਰਫ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਜਾਰੀ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ; ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਪੈਕੇਜ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਵਿਕਰੇਤਾ ਦੀ ਬੈਕਪੋਰਟ ਸਲਾਹਕਾਰ ਅਤੇ ਸੰਪੂਰਨ ਪੈਕੇਜ ਸੰਸਕਰਣ ਦੀ ਜਾਂਚ ਕਰੋ, ਅਤੇ ਸਿਸਟਮ Python ਨੂੰ ਸਵੈ-ਕੰਪਾਈਲ ਕੀਤੇ ਸੰਸਕਰਣ ਨਾਲ ਜ਼ਬਰਦਸਤੀ ਬਦਲਣ ਦੀ ਕੋਈ ਲੋੜ ਨਹੀਂ ਹੈ। S33 S34

ਸੁਤੰਤਰ ਨਿਰਭਰਤਾ	ਸਿਫ਼ਾਰਸ਼ੀ ਵਰਜਨ ਬੇਸਲਾਈਨ	ਵਰਣਨ
Django 5.2 / 6.0 / 6.1	5.2.18 / 6.0.9 / 6.1.2	6 ਅਕਤੂਬਰ ਨੂੰ ਬਾਅਦ ਦੇ ਸੁਧਾਰ S38 S39 ਨੂੰ ਸ਼ਾਮਲ ਕਰੋ
certifi	≥2026.10.19	GHSA ਸ਼ੁਰੂਆਤੀ ਪੈਚ ਹੈ .18; PSF .19 ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕਰਦਾ ਹੈ ਤਾਂ ਜੋ ਪ੍ਰਭਾਵਿਤ ਨਾ ਹੋਣ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਅਨੁਕੂਲਤਾ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਿਆ ਜਾ ਸਕੇ S36 S37
pip	≥26.2.2	certifi ਦੀ ਬਿਲਟ-ਇਨ ਕਾਪੀ S35 S37 ਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ
uv (ਜੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ)	≥0.13.4	ਅਸਲ ਇੰਸਟਾਲੇਸ਼ਨ ਵਿਧੀ ਦੇ ਅਨੁਸਾਰ S37 ਨੂੰ ਅਪਡੇਟ ਕਰੋ

ਇਹ ਬੇਸਲਾਈਨ ਸੂਚੀਬੱਧ ਫਿਕਸਾਂ ਨੂੰ ਕਵਰ ਕਰਦੇ ਹਨ। tar_filter ਵਿੱਚ ਇੱਕ ਹੋਰ ਮੱਧਮ-ਗੰਭੀਰਤਾ ਦੇ ਮੁੱਦੇ ਦਾ ਖੁਲਾਸਾ 22 ਅਕਤੂਬਰ ਨੂੰ ਕੀਤਾ ਗਿਆ ਸੀ। 23 ਅਕਤੂਬਰ, 2026 ਤੱਕ, ਇਸ ਫਿਕਸ ਵਾਲੇ ਅਧਿਕਾਰਤ ਰੱਖ-ਰਖਾਅ ਵਾਲੇ ਸੰਸਕਰਣ ਦੀ ਅਜੇ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ; ਇਸ ਲਈ, 3.13.17 / 3.14.9 / 3.15.1 ਨੂੰ ਸਾਰੇ ਟਾਰਫਾਈਲ ਮੁੱਦਿਆਂ ਨੂੰ ਕਵਰ ਕਰਨ ਲਈ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਸੈਕਸ਼ਨ 5.4. S40 ਦੇਖੋ

2.4 ਵੰਡ ਬੈਕਪੋਰਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰ ਰਿਹਾ ਹੈ

ਲਾਗੂ ਕਰਨ ਦੇ ਸਿਧਾਂਤ Ubuntu, Debian, RHEL ਅਤੇ ਹੋਰ ਸਾਫਟਵੇਅਰ ਪੈਕੇਜਾਂ ‘ਤੇ ਲਾਗੂ ਹੁੰਦੇ ਹਨ:

ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਸੰਸਕਰਣ, ਰਿਪੋਜ਼ਟਰੀ ਸਰੋਤ, ਪੂਰਾ ਪੈਕੇਜ ਸੰਸਕਰਣ, ਅਤੇ ਵਿਕਰੇਤਾ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ ਨੰਬਰ ਰਿਕਾਰਡ ਕਰੋ।
ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸਲਾਹਕਾਰ ਖਾਸ CVE ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ ਅਤੇ ਸੰਬੰਧਿਤ ਵੰਡ ਰੀਲੀਜ਼ ਲਈ ਇੱਕ ਨਿਸ਼ਚਿਤ ਪੈਕੇਜ ਦੀ ਪਛਾਣ ਕਰਦਾ ਹੈ।
ਅਸਲ ਚੱਲ ਰਹੀ ਪ੍ਰਕਿਰਿਆ ਦੁਆਰਾ ਲੋਡ ਕੀਤੀਆਂ ਬਾਈਨਰੀਆਂ/ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਤੁਲਨਾ ਕਰੋ, ਨਾ ਕਿ ਸਿਰਫ ਅੱਪਸਟ੍ਰੀਮ ਛੋਟੇ ਸੰਸਕਰਣ।
ਜਦੋਂ ਕਿਸੇ ਵਿਕਰੇਤਾ ਪੈਚ ਦਾ ਕੋਈ ਸਬੂਤ ਨਹੀਂ ਹੁੰਦਾ, ਤਾਂ ਇਸਨੂੰ “ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ” ਛੱਡੋ ਅਤੇ ਇਸ ਨੂੰ ਸਿਰਫ਼ ਇਸ ਸਿੱਟੇ ਵਜੋਂ ਨਾ ਲਓ ਕਿ ਸੰਸਕਰਣ ਨੰਬਰ ਪੁਰਾਣਾ ਜਾਂ ਨਵਾਂ ਲੱਗਦਾ ਹੈ।

apt/RPM ਪੈਕੇਜ ਸੰਸਕਰਣਾਂ ਅਤੇ ਵੱਖ-ਵੱਖ ਵੰਡਾਂ ਦੀਆਂ ਬੈਕਪੋਰਟ ਰਣਨੀਤੀਆਂ ਵਿੱਚ ਅੰਤਰ ਹਨ। ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ ਅਤੇ ਹਰੇਕ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਦਾ ਪੂਰਾ ਪੈਕੇਜ ਸੰਸਕਰਣ ਪ੍ਰਬਲ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

3. Node.js / JavaScript ਈਕੋਸਿਸਟਮ: ਕਾਰਨਾਂ ਅਤੇ ਉਪਚਾਰ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ

3.1 CVE-2026-111497: Brotli ਨੇਟਿਵ ਡੀਕੋਡਰ ਆਊਟ-ਆਫ-ਬਾਉਂਡ ਲਿਖਦਾ ਹੈ

ਖੁਲਾਸਾ: 2026-10-21; Node ਅਧਿਕਾਰਤ ਗ੍ਰੇਡ: High। Node 22.x, 24.x, 26.x ਦੇ ਪ੍ਰਭਾਵਿਤ ਬਿਲਡਾਂ ਨੂੰ ਪੈਚ ਸੈਕਸ਼ਨ 2.1 ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। Node ਘੋਸ਼ਣਾ ਵਿੱਚ ਇੱਕ ਸੰਖਿਆਤਮਕ CVSS ਸਕੋਰ ਦੀ ਸੂਚੀ ਨਹੀਂ ਹੈ। S1

ਨੁਕਸਦਾਰ Brotli ਸੰਕੁਚਿਤ ਸਟ੍ਰੀਮ ਨੂੰ ਸੰਭਾਲਣ ਵੇਲੇ ਮੂਲ ਡੀਕੋਡਿੰਗ ਤਰਕ ਵਿੱਚ ਸਮੱਸਿਆ ਆਉਂਦੀ ਹੈ, ਜਿਸ ਨਾਲ ਰਾਈਟਸ ਤੋਂ ਬਾਹਰ ਹੋ ਸਕਦਾ ਹੈ। Vercel ਦਾ ਅਧਿਕਾਰਤ ਵਰਣਨ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਖੋਜ ਪ੍ਰਦਰਸ਼ਨ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆ ਮੈਮੋਰੀ ਲੀਕ ਅਤੇ ਕਮਾਂਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਸ਼ਾਮਲ ਹੈ। ਕੀ ਕੋਈ ਹਮਲਾਵਰ ਡੀਕੋਡਰ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ ਇਹ ਇਸ ਗੱਲ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਜਾਂ ਨਿਰਭਰਤਾ ਅਸਲ ਵਿੱਚ ਉਸ ਡੇਟਾ ਨੂੰ ਡੀਕੋਡ ਕਰਦੀ ਹੈ ਜਿਸਨੂੰ ਇਹ ਨਿਯੰਤਰਿਤ ਕਰਦਾ ਹੈ। S3

ਦੋਵਾਂ ਦਿਸ਼ਾਵਾਂ ਨੂੰ ਇੱਕੋ ਸਮੇਂ ‘ਤੇ ਜਾਂਚਣ ਦੀ ਲੋੜ ਹੈ:

inbound: The ਫਰੇਮਵਰਕ ਜਾਂ ਮਿਡਲਵੇਅਰ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਸਪੁਰਦ ਕੀਤੀ ਗਈ Brotli ਬੇਨਤੀ ਬਾਡੀ ਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ ‘ਤੇ ਡੀਕੰਪ੍ਰੈਸ ਕਰਦਾ ਹੈ।
**outbound:**HTTP ਕਲਾਇੰਟਸ, ਚਿੱਤਰ ਗ੍ਰੈਬਰ, ਆਦਿ ਹਮਲਾਵਰ-ਨਿਯੰਤਰਿਤ ਸਰੋਤਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਦੇ ਹਨ ਅਤੇ ਵਾਪਸ ਕੀਤੀ ਸਮੱਗਰੀ ਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ ‘ਤੇ ਡੀਕੰਪ੍ਰੈਸ ਕਰਦੇ ਹਨ।

ਬ੍ਰਾਊਜ਼ਰਾਂ ਨੂੰ ਭੇਜੇ ਗਏ ਜਵਾਬਾਂ ਦੇ Brotli ਕੰਪਰੈਸ਼ਨ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣਾ ਇੱਕ ਡੀਕੋਡਿੰਗ ਐਂਟਰੀ ਪੁਆਇੰਟ ਨੂੰ ਨਹੀਂ ਹਟਾਉਂਦਾ ਹੈ। ਇਨਬਾਉਂਡ WAF ਸੁਰੱਖਿਆ ਬਾਹਰੀ ਜਵਾਬਾਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਡੀਕੋਡਿੰਗ ਕਰਨ ਵਾਲੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਵੀ ਕਵਰ ਨਹੀਂ ਕਰਦੀ ਹੈ। S3

**ਪੈਚ ਦਿਸ਼ਾ:**Node Brotli ਅੱਪਸਟ੍ਰੀਮ ਫਿਕਸ ਨੂੰ ਮੂਲ ਨਿਰਭਰਤਾ ਵਿੱਚ ਮੂਵ ਕਰੋ, ਅਤੇ ਗੈਰ-ਕਾਨੂੰਨੀ ਡੀਕੋਡਿੰਗ ਸਥਿਤੀ ਦੀ ਜਾਂਚ ਅਤੇ ਗਲਤੀ ਪ੍ਰਸਾਰ ਨੂੰ ਪੂਰਕ ਕਰੋ। ਸਵੈ-ਕੰਪਾਈਲ ਕੀਤੇ ਸੰਸਕਰਣ ਨੂੰ ਕਾਇਮ ਰੱਖਦੇ ਸਮੇਂ, ਤੁਹਾਨੂੰ ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼ ਜਾਂ ਮੇਲ ਖਾਂਦੀ ਸ਼ਾਖਾ ਦੇ ਪੂਰੇ ਪੈਚ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ। ਤੁਸੀਂ ਸਿਰਫ਼ JavaScript ਪੈਕੇਜ ਦੇ ਵਰਜਨ ਸਟੇਟਮੈਂਟ ਨੂੰ ਬਦਲ ਨਹੀਂ ਸਕਦੇ। S4

ਅੰਤਰਮ ਲਾਗੂ ਕਰਨ ਦੇ ਸੁਝਾਅ: ਬੇਲੋੜੀ ਗੈਰ-ਭਰੋਸੇਯੋਗ Brotli ਡੀਕੋਡਿੰਗ ਨੂੰ ਰੋਕੋ; ਮਿਡਲਵੇਅਰ ਅਤੇ HTTP ਕਲਾਇੰਟ ਦੇ ਆਟੋਮੈਟਿਕ ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਵਿਵਹਾਰ ਦੀ ਜਾਂਚ ਕਰੋ; ਜੇਕਰ ਕਾਰੋਬਾਰ ਨੂੰ ਇਸ ਫਾਰਮੈਟ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਤਾਂ ਜਿੰਨੀ ਜਲਦੀ ਹੋ ਸਕੇ ਪੈਚ ਵਾਲੇ ਵਾਤਾਵਰਣ ਵਿੱਚ ਪ੍ਰਕਿਰਿਆ ਪੂਰੀ ਕਰੋ। Accept-Encoding ਨੂੰ ਵਿਵਸਥਿਤ ਕਰਨਾ ਸਿਰਫ਼ ਗੱਲਬਾਤ ਦਾ ਇੱਕ ਕੰਮ ਹੈ ਅਤੇ ਇਸ ਗੱਲ ਦੇ ਸਬੂਤ ਵਜੋਂ ਇਕੱਲੇ ਨਹੀਂ ਖੜ੍ਹੇ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇੱਕ ਖਤਰਨਾਕ ਜਵਾਬ ਨੂੰ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ।

3.2 TLS / DNS ਤਿੰਨ High: ਪੁਸ਼ਟੀਕਰਨ ਵਸਤੂ ਅਸਲ ਟੀਚੇ ਨਾਲ ਅਸੰਗਤ ਹੈ

ਤਿੰਨਾਂ ਦਾ ਖੁਲਾਸਾ 21 ਅਕਤੂਬਰ ਨੂੰ ਕੀਤਾ ਗਿਆ ਸੀ, ਸੈਕਸ਼ਨ 2.1. S1 ਵਿੱਚ ਨਿਰਧਾਰਤ ਅਧਿਕਾਰਤ ਅਪਗ੍ਰੇਡ ਥ੍ਰੈਸ਼ਹੋਲਡ ਦੇ ਨਾਲ

ਪਛਾਣਕਰਤਾ	ਮੁੱਦੇ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ	ਪ੍ਰਭਾਵਿਤ ਸ਼ਾਖਾਵਾਂ
CVE-2026-105482	`dns.resolve` NUL ਵਾਲੇ ਨਾਵਾਂ ਦੀ ਛਾਂਟੀ	22.x / 24.x / 26.x
CVE-2026-105483	IP ਪੂਰੀ-ਚੌੜਾਈ ਵਾਲੇ ਸੰਖਿਆਤਮਕ ਰੂਪ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਹੋਸਟਨਾਮ ਤਸਦੀਕ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣਦਾ ਹੈ	24.x / 26.x
CVE-2026-106069	IP ਦੇ ਨਤੀਜੇ ਵਜੋਂ TLS ਪੁਸ਼ਟੀਕਰਨ ਬਾਈਪਾਸ ਦੇ ਰੂਪ ਵਿੱਚ ਹੋਸਟਨਾਮ ਦੀ ਵਿਆਖਿਆ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ	22.x / 24.x / 26.x

DNS ਸਮੱਸਿਆ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ ਉੱਪਰਲੀ ਪਰਤ ਦੁਆਰਾ ਜਾਂਚ ਕੀਤੀ ਗਈ ਸਤਰ ਅਸਲ ਵਿੱਚ ਹੇਠਲੀ ਪਰਤ ਦੁਆਰਾ ਪਾਰਸ ਕੀਤੇ ਨਾਮ ਤੋਂ ਵੱਖਰੀ ਹੈ। ਅਧਿਕਾਰਤ ਪੈਚ ਪਾਰਸਿੰਗ ਐਂਟਰੀ ‘ਤੇ NUL ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਰਿਗਰੈਸ਼ਨ ਕਵਰੇਜ ਜੋੜਦਾ ਹੈ। S6

TLS ਦੋ ਆਈਟਮਾਂ ਵਿੱਚ ਨਾਮ ਸਧਾਰਣਕਰਨ, IP ਵਿਆਖਿਆ ਦੀ ਇਕਸਾਰਤਾ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਮੇਲ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ। ਪੈਚ ਕਰੋ ਤਾਂ ਕਿ ਗੈਰ-ਮਿਆਰੀ IP ਇਨਪੁਟ ਨੂੰ ਅਸਵੀਕਾਰ ਕੀਤਾ ਜਾਵੇ ਜਾਂ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਡੋਮੇਨ ਪਛਾਣ ਦੇ ਨਾਲ ਅਸਲ IP ਅੰਤਮ ਬਿੰਦੂ ਨੂੰ ਉਲਝਾਉਣ ਤੋਂ ਬਚਣ ਲਈ ਸਹੀ ਢੰਗ ਨਾਲ ਸੰਭਾਲਿਆ ਜਾਵੇ। S5

: ਲਈ ਅਸਲ ਸਮੱਸਿਆ ਨਿਪਟਾਰਾ ਸੁਝਾਅ ਪ੍ਰਾਪਤ ਕਰਨ ਵਾਲੇ ਉਪਭੋਗਤਾ URL, ਡਾਇਨਾਮਿਕ ਪ੍ਰੌਕਸੀ ਟਾਰਗੇਟ ਜਾਂ Webhook ਪਤੇ ਦੀ ਜਾਂਚ ਕਰਨ ਨੂੰ ਤਰਜੀਹ ਦਿੰਦੇ ਹਨ; ਯੂਨੀਫਾਈਡ ਮਾਨਕੀਕਰਨ ਅਤੇ ਸੂਚੀ ਨਿਰਣੇ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, NUL/ਕੰਟਰੋਲ ਅੱਖਰਾਂ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ, ਕਾਨੂੰਨੀ IPv4, IPv6 ਅਤੇ ਅੰਤਰਰਾਸ਼ਟਰੀ ਡੋਮੇਨ ਨਾਮ ਅਜੇ ਵੀ ਕੰਮ ਕਰਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ। ਕੀ SSRF ਨੂੰ ਅੱਗੇ ਬਣਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਲਿੰਕ ਸਬੂਤ ਦੀ ਅਰਜ਼ੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਜੋ ਸਿੱਧੇ ਤੌਰ ‘ਤੇ CVE ਨਾਮ ਤੋਂ ਨਹੀਂ ਕੱਢਿਆ ਜਾ ਸਕਦਾ।

ਪੋਸਟ-ਅੱਪਗ੍ਰੇਡ ਚੈੱਕਸਮ ਗਲਤੀਆਂ ਨੂੰ ਖਤਮ ਕਰਨ ਲਈ NODE_TLS_REJECT_UNAUTHORIZED=0 ਜਾਂ rejectUnauthorized: false ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ। ਪਤਾ, ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕਾਰੋਬਾਰੀ ਸੰਰਚਨਾ ਨੂੰ ਠੀਕ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

3.3 ਜੁਲਾਈ HTTP/2 High-ਜੋਖਮ ਅਤੇ ਅਨੁਮਤੀ ਮਾਡਲ ਮੁੱਦੇ

ਜੁਲਾਈ ਵਿੱਚ ਸਾਹਮਣੇ ਆਏ ਨਿਮਨਲਿਖਤ ਮੁੱਦਿਆਂ ਨੂੰ ਅਜੇ ਵੀ ਜਾਂਚ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਤੈਨਾਤ ਕਰਨ ਵੇਲੇ ਸੈਕਸ਼ਨ 2.1 ਵਿੱਚ ਅਕਤੂਬਰ ਸੁਰੱਖਿਆ ਸੰਸਕਰਣ ਬੇਸਲਾਈਨ ਦੀ ਸਿੱਧੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। S7

CVE	ਕਾਰਨ ਅਤੇ ਪ੍ਰਭਾਵ	ਪਹਿਲਾ ਸਥਿਰ ਸੰਸਕਰਣ
CVE-2026-56846	ਬਰਕਰਾਰ ਰੱਖਿਆ HTTP/2 header ਬਲਾਕ `maxSessionMemory` ਬਜਟ ਵਿੱਚ ਸਹੀ ਢੰਗ ਨਾਲ ਸ਼ਾਮਲ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਮੈਮੋਰੀ ਨੂੰ ਖਤਮ ਕਰ ਸਕਦਾ ਹੈ; ਪ੍ਰਭਾਵ 22.x / 24.x	22.23.2 / 24.18.1
CVE-2026-56848	HTTP/2 ਪੈਕੇਟ ਸੰਗ੍ਰਹਿ ਦੇ ਦੌਰਾਨ ਭੇਜਣ ਵਾਲੇ ਮਾਰਗ ਵਿੱਚ ਮੁੜ-ਪ੍ਰਵੇਸ਼ ਕਰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਇੱਕ ਢੇਰ UAF ਹੁੰਦਾ ਹੈ; ਪ੍ਰਭਾਵ 22.x / 24.x / 26.x	22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043	`--permission` ਮਾਰਗ ਅਗੇਤਰ ਸੀਮਾ ਮੇਲ ਬਹੁਤ ਚੌੜਾ ਹੈ, ਅਤੇ ਇਜਾਜ਼ਤ ਸੂਚੀ ਤੋਂ ਬਾਹਰ ਦੀਆਂ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।	ਉਪਰੋਕਤ ਤਿੰਨ ਮੇਨਟੇਨੈਂਸ ਲਾਈਨਾਂ ਵਾਂਗ ਹੀ

ਤਿੰਨੋਂ ਅਧਿਕਾਰਤ ਤੌਰ ‘ਤੇ High ਹਨ। ਪਹਿਲੀਆਂ ਦੋ ਆਈਟਮਾਂ ਇਹ ਜਾਂਚ ਕਰਨ ਨੂੰ ਤਰਜੀਹ ਦਿੰਦੀਆਂ ਹਨ ਕਿ ਕੀ HTTP/2 ਖੁਦ Node ਦੁਆਰਾ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾਂਦੀ ਹੈ; ਤੀਸਰੀ ਆਈਟਮ ਦਾ ਕੇਵਲ ਅਨੁਮਤੀ ਮਾਡਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਅਤੇ ਇਸ ਸੀਮਾ ‘ਤੇ ਭਰੋਸਾ ਕਰਦੇ ਸਮੇਂ ਅਨੁਸਾਰੀ ਅਰਥ ਹੁੰਦਾ ਹੈ। ਇਜਾਜ਼ਤ ਮਾਡਲ ਆਈਟਮਾਂ ਨੂੰ ਨੈੱਟਵਰਕ RCE ਦੇ ਤੌਰ ‘ਤੇ ਵਰਣਨ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਿਸ ਲਈ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। S7

ਅਸਥਾਈ ਤੌਰ ‘ਤੇ HTTP/2 ਨੂੰ ਇੱਕ ਵੱਖਰੀ, ਅੱਪਡੇਟ ਕੀਤੀ ਪ੍ਰੌਕਸੀ ‘ਤੇ ਬੰਦ ਕਰਨਾ ਅਤੇ ਬੈਕਐਂਡ ਸਰੋਤਾਂ ਨੂੰ ਸੀਮਤ ਕਰਨਾ ਐਕਸਪੋਜ਼ਰ ਨੂੰ ਘਟਾਉਣ ਲਈ ਇੱਕ ਤੈਨਾਤੀ ਵਿਕਲਪ ਹੈ; ਸਰੋਤ ਕੋਟਾ ਸਿਰਫ ਸਰੋਤ ਥਕਾਵਟ ਦੇ ਨਤੀਜਿਆਂ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ UAF ਪੈਚ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ।

3.4 ਅਕਤੂਬਰ React / Next.js: ਦੋ ਆਈਟਮਾਂ RCE ਅਤੇ ਇੱਕ ਆਈਟਮ DoS

A. RSC / `use cache` ਵਿੱਚ RCE ਟਾਈਪ ਕੀਤੀਆਂ ਐਰੇ ਵਾਪਸ ਕਰਨ ਵਾਲੇ ਫੰਕਸ਼ਨ

ਜਨਤਕ ਮਿਤੀ: 2026-10-14; Critical, CVSS 4.0 9.5. ਅਧਿਕਾਰਤ ਸਲਾਹਕਾਰ ਪਛਾਣਕਰਤਾ:

React：GHSA-xqc2-xf4c-x3h3。
Next.js：GHSA-673q-mjm6-r5xr。S9 S10

ਦ React ਅੱਪਸਟ੍ਰੀਮ ਮੁੱਦੇ ਵਿੱਚ ਹਮਲਾਵਰ-ਨਿਯੰਤਰਿਤ ਮੁੱਲਾਂ ਦੇ ਨਾਲ ਮਿਲਾ ਕੇ ਕਈ ਟਾਈਪ ਕੀਤੇ ਐਰੇ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ RSC ਜਵਾਬ. ਤਿੰਨ ਪ੍ਰਭਾਵਿਤ ਹੋਏ react-server-dom-* ਪੈਕੇਜ ਸੰਸਕਰਣ ਹਨ 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; ਅਧਿਆਇ ਭਾਗ ਵੇਖੋ 2.1. ਸ਼ੁੱਧ ਬਰਾਊਜ਼ਰ-ਸਾਈਡ React , ਜਾਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਜੋ ਸਮਰਥਨ ਕਰਨ ਵਾਲੇ ਫਰੇਮਵਰਕ/ਪਲੱਗ-ਇਨ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੀਆਂ ਹਨ RSC ਬਿਲਕੁਲ ਵੀ, ਇਸ ਆਈਟਮ ਦੇ ਦਾਇਰੇ ਵਿੱਚ ਨਾ ਆਓ। S10

Next.js ਡਾਊਨਸਟ੍ਰੀਮ ਘੋਸ਼ਣਾ ਸੂਚੀਆਂ 16.0.0 — 16.4.0 , ਵਿੱਚ ਸੋਧਿਆ ਗਿਆ 16.4.1 ; ਦ੍ਰਿਸ਼ ਹੈ App Router , Cache Components , ਅਤੇ use cache ਫੰਕਸ਼ਨ ਜੋ ਕਈ ਟਾਈਪ ਕੀਤੇ ਐਰੇ ਵਾਪਸ ਕਰਦੇ ਹਨ। ਇੱਥੇ ਕੋਈ ਅਧਿਕਾਰਤ ਭਰੋਸੇਮੰਦ ਆਮ ਹੱਲ ਨਹੀਂ ਹੈ, ਅਤੇ ਪ੍ਰਭਾਵਿਤ ਸੰਸਕਰਣਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਮੇਂ ਵਿੱਚ ਅੱਪਗਰੇਡ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਖਤਮ ਕਰਨ ਲਈ “ਇਹ ਫੰਕਸ਼ਨ ਮੌਜੂਦ ਨਹੀਂ ਜਾਪਦਾ” ਲਈ ਸਿਰਫ ਦਸਤੀ ਖੋਜਾਂ ‘ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਉਚਿਤ ਨਹੀਂ ਹੈ। S9

ਹਵਾਲਾ: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. The ਸਮੱਸਿਆ ਚਿੱਤਰ ਅਨੁਕੂਲਨ ਲਈ ਵਰਤੀ ਗਈ ਅੱਪਸਟਰੀਮ ਮੂਲ ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਵਾਪਰਦੀ ਹੈ। ਅਧਿਕਾਰੀਆਂ ਨੇ ਦੱਸਿਆ ਕਿ RCE ਜੋਖਮ glibc Linux ਦ੍ਰਿਸ਼ ਵਿੱਚ ਮੌਜੂਦ ਹੈ। S11

ਅਧਿਕਾਰਤ ਸੰਸਕਰਣ ਖੇਤਰ ਹਨ:

>=10.0.0 <=15.5.27；
>16.0.0 <=16.4.0。

ਅਧਿਕਾਰੀ 16.x ਬ੍ਰਾਂਚ ਲਈ >16.0.0 ਦੀ ਸਖਤ ਨੀਵੀਂ ਸੀਮਾ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਪਰ ਇਹ ਰੇਂਜ ਸਟੇਟਮੈਂਟ ਇਹ ਸਾਬਤ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ ਕਿ 16.0.0 ਸੁਰੱਖਿਅਤ ਹੈ। ਅਸਲ ਅੱਪਗਰੇਡ ਦਾ ਟੀਚਾ ਇਕਸਾਰ 15.5.28 / 16.4.1 ਹੈ। S11

ਅਧਿਕਾਰਤ ਅਸਥਾਈ ਹੱਲ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਹੈ ਕਿ Next ਅਸਲ ਵਿੱਚ ਤਿੱਖੇ ≥0.35.5 ਲੋਡ ਕਰਦਾ ਹੈ। ਲਾਕ ਫਾਈਲਾਂ, ਨੇਸਟਡ ਨਿਰਭਰਤਾਵਾਂ, ਅਤੇ ਤੈਨਾਤੀ ਚਿੱਤਰਾਂ ਵਿੱਚ ਅਜੇ ਵੀ ਪੁਰਾਣੀਆਂ ਉਦਾਹਰਣਾਂ ਹੋ ਸਕਦੀਆਂ ਹਨ, ਇਸਲਈ ਸਿਰਫ ਚੋਟੀ ਦੇ ਪੱਧਰ ‘ਤੇ sharp ਨਿਰਭਰਤਾ ਦਾ ਇੱਕ ਨਵਾਂ ਸੰਸਕਰਣ ਜੋੜਨਾ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ, ਅੰਤਮ ਨਿਰਭਰਤਾ ਟ੍ਰੀ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। S11

C. Server Actions CPU ਥੱਕ ਗਿਆ

**GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.**Next ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ 13.0.0—15.5.27, 16.0.0—16.4.0, 15.5.28 ਫਿਕਸ ਕਰਦਾ ਹੈ /16.4.1. ਹਾਲਾਤ App Router ਅਤੇ ਘੱਟੋ-ਘੱਟ ਇੱਕ Server Action ਹਨ; ਖ਼ਰਾਬ ਬੇਨਤੀਆਂ CPU ਨੂੰ ਲੰਬੇ ਸਮੇਂ ਲਈ ਕਬਜ਼ੇ ਵਿੱਚ ਰੱਖ ਸਕਦੀਆਂ ਹਨ, ਉਸੇ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਅਗਲੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰ ਸਕਦੀਆਂ ਹਨ। Pages Router ਨਾਲ ਜਾਂ Server Actions ਤੋਂ ਬਿਨਾਂ ਅਰਜ਼ੀਆਂ ਇਸ ਨਾਲ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੀਆਂ ਹਨ। S12

ਇੱਥੇ ਕੋਈ ਅਧਿਕਾਰਤ ਹੱਲ ਨਹੀਂ ਹੈ ਜੋ ਅੱਪਗ੍ਰੇਡ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ। ਦਰ ਸੀਮਾਵਾਂ, ਸਮਰੂਪਤਾ ਸੀਮਾਵਾਂ ਅਤੇ ਸਰੋਤ ਕੋਟਾ ਨੁਕਸਾਨ ਨੂੰ ਘਟਾ ਸਕਦੇ ਹਨ, ਪਰ ਪੈਚ ਤਸਦੀਕ ਲਈ ਸਿੱਟੇ ਵਜੋਂ ਨਹੀਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ।

3.5 ਪਹਿਲਾਂ ਉਸੇ ਵਿੰਡੋ ਵਿੱਚ Next.js ਗੰਭੀਰ ਸਮੱਸਿਆ

ਨਿਮਨਲਿਖਤ ਆਈਟਮਾਂ ਗੁੰਮ ਤੈਨਾਤੀਆਂ ਤੋਂ ਬਚਣ ਲਈ ਹਨ ਜੋ ਅਜੇ ਵੀ ਅਗਸਤ-ਸਤੰਬਰ ਤੋਂ ਪਹਿਲਾਂ ਦੇ ਸੰਸਕਰਣਾਂ ‘ਤੇ ਅਟਕੀਆਂ ਹੋਈਆਂ ਹਨ; ਹੁਣੇ ਸਾਰਣੀ ਵਿੱਚ ਪੁਰਾਣੇ ਫਿਕਸ ਥ੍ਰੈਸ਼ਹੋਲਡ ਤੱਕ ਜਾਣ ਦੀ ਸਿਫਾਰਸ਼ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਮਿਤੀ	ਪਛਾਣਕਰਤਾ / ਦ੍ਰਿਸ਼	ਪਹਿਲੀ ਫਿਕਸ; ਮੌਜੂਦਾ ਕਾਰਵਾਈ
2026-08-25	GHSA-2xp9-vwfh-vxw4: AVIF ਚਿੱਤਰ ਅਨੁਕੂਲਨ ਮੂਲ ਲਾਇਬ੍ਰੇਰੀ RCE, Critical	15.5.24 / 16.3.3; ਹੁਣ 15.5.28 / 16.4.1 S13
2026-08-25	CVE-2026-75604: RCE, Critical ਜਦੋਂ Pages Router ਅਤੇ App Router Windows ‘ਤੇ ਇੱਕੋ ਸਮੇਂ ਵਰਤੇ ਜਾਂਦੇ ਹਨ, ਅਤੇ Cache Components ਸਮਰਥਿਤ ਨਹੀਂ ਹੈ; ਸੰਸਕਰਣ `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3`	15.5.24 / 16.3.3; Linux/macOS ਇਸ ਖਾਸ Windows ਮੁੱਦੇ S14 ਦੁਆਰਾ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦੇ ਹਨ
2026-09-22	GHSA-vcvr-r3jv-pc5j: `next/og` ਵਿੱਚ Node ਚਿੱਤਰ-ਜਨਰੇਸ਼ਨ ਮਾਰਗ ਗੈਰ-ਭਰੋਸੇਯੋਗ SVG, Critical ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦਾ ਹੈ; 16.2.0—16.3.5	16.3.6; Edge ਲਾਗੂਕਰਨ ਇਸ ਮੁੱਦੇ ਦੇ ਦਾਇਰੇ ਤੋਂ ਬਾਹਰ ਹੈ, ਅਤੇ 15.x ਇਸ RCE S15 ਲਈ ਪ੍ਰਭਾਵਿਤ ਸ਼ਾਖਾ ਨਹੀਂ ਹੈ।

4. Java ਈਕੋਸਿਸਟਮ: ਰਨਟਾਈਮ ਟਰੱਸਟ, ਕੰਟੇਨਰ ਅਤੇ ਫਰੇਮਵਰਕ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਸੰਭਾਲੇ ਜਾਂਦੇ ਹਨ

4.1 JDK: ਨਿਯਮਤ CPU ਅਤੇ CVE-2026-91403 ਦੋ-ਪੱਧਰੀ ਅੱਪਡੇਟ ਹਨ

ਦ Java SE ਲਈ ਜੋਖਮ ਮੈਟਰਿਕਸ Oracle CPU ਅਕਤੂਬਰ 20 ਸੂਚੀਆਂ ‘ਤੇ 55 ਨਵੇਂ ਸੁਰੱਖਿਆ ਪੈਚ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ 49 ਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਨੈੱਟਵਰਕ ‘ਤੇ ਸ਼ੋਸ਼ਣਯੋਗ ਵਜੋਂ ਚਿੰਨ੍ਹਿਤ ਕੀਤਾ ਗਿਆ ਹੈ . ਇਸ ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਕਿ 55 ਹਨ Critical , ਨਾ ਹੀ ਇਸਦਾ ਮਤਲਬ ਇਹ ਹੈ ਕਿ 49 ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਸ਼ੋਸ਼ਣਯੋਗ ਹਨ RCE ਹਰੇਕ ਲਈ ਮਾਰਗ Java ਵੈੱਬ ਸੇਵਾ; ਇਸਨੂੰ ਮੈਟਰਿਕਸ ਵਿੱਚ ਕੰਪੋਨੈਂਟਸ, API, ਯੂਜ਼ਰ ਇੰਟਰੈਕਸ਼ਨ ਅਤੇ ਡਿਪਲਾਇਮੈਂਟ ਸ਼ਰਤਾਂ ਦੇ ਨਾਲ ਸਮਝਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। S16

ਅਗਲੇ ਦਿਨ ਦਾ CVE-2026-91403 (CVSS 3.1 9.1) ਇੱਕ ਹੋਰ ਕਿਸਮ ਦੇ ਜੋਖਮ ਨਾਲ ਨਜਿੱਠਦਾ ਹੈ: eMudhra ਇਵੈਂਟ ਨਾਲ ਸਬੰਧਤ ਵਿਚਕਾਰਲੇ CA ਦਾ ਇੱਕ ਸਮੂਹ ਜੋ ਹੁਣ ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਹੈ। ਇਹ TLS ਪੀਅਰ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਸੰਚਾਰ ਗੁਪਤਤਾ/ਇਕਸਾਰਤਾ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸ ਨੂੰ JVM ਮੈਮੋਰੀ ਭ੍ਰਿਸ਼ਟਾਚਾਰ ਕਮਜ਼ੋਰੀ ਵਜੋਂ ਵਰਣਨ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। S17

Oracle ਸਲਾਹਕਾਰ 20 ਅਕਤੂਬਰ ਨੂੰ ਜਾਰੀ ਕੀਤੇ ਗਏ ਸੰਸਕਰਨ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਇਸਲਈ 21 ਅਕਤੂਬਰ ਨੂੰ ਆਊਟ-ਆਫ਼-ਬੈਂਡ ਅੱਪਡੇਟ ਨੂੰ ਵੀ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਖਾਸ ਸੰਸਕਰਣ ਲਈ ਸੈਕਸ਼ਨ 2.2 ਦੇਖੋ। GraalVM ਵਿੱਚ ਸੰਬੰਧਿਤ ਪ੍ਰਭਾਵਿਤ ਉਤਪਾਦ ਵੀ ਹਨ, ਅਤੇ ਸਥਿਰ ਸੰਸਕਰਣ ਇਸਦੇ ਵਿਸ਼ੇਸ਼ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ ਦੇ ਅਧੀਨ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। S17 S18

ਅਸਥਾਈ ਅਧਿਕਾਰਤ ਉਪਾਅ: ਪਹਿਲਾਂ ਬੈਕਅੱਪ ਲਓ, ਅਤੇ ਫਿਰ ਅਸਲ ਵਿੱਚ ਵਰਤੇ ਗਏ ਹਰੇਕ ਟਰੱਸਟਸਟੋਰ ਤੋਂ ਨਿਰਧਾਰਤ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹਟਾਓ:

emSign ECC Root CA - G3, Oracle ਉਰਫ emsigneccrootcag3 [jdk]।
AAA Certificate Services, Oracle ਉਰਫ comodoaaaca [jdk]। S19

JDK 11 ਅਤੇ ਬਾਅਦ ਵਿੱਚ, ਅਧਿਕਾਰਤ ਉਦਾਹਰਨ ਹੈ:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

ਇਹਨਾਂ ਕਮਾਂਡਾਂ ਲਈ ਟੀਚੇ JDKਤੋਂkeytool ਦੀ ਵਰਤੋਂ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਉਹ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਅਸਲ ਟਰੱਸਟ ਸਟੋਰ ‘ਤੇ ਕੰਮ ਕਰ ਰਹੇ ਹਨ। Java 8 jre/lib/security/cacerts ਨਾਲ ਸੰਬੰਧਿਤ ਮਾਰਗ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ; ਟਰੱਸਟਸਟੋਰ ਨੂੰ ਅਨੁਕੂਲਿਤ ਕਰਨ ਲਈ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਹੈਂਡਲ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਹੋਰ ਪ੍ਰਕਾਸ਼ਕਾਂ ਦੇ ਵੱਖੋ-ਵੱਖ ਉਪਨਾਮ ਹੋ ਸਕਦੇ ਹਨ। ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਹਟਾਉਣ ਨਾਲ ਅਸਵੀਕਾਰ, ਅਤੇ ਰੀਗਰੈਸ਼ਨ-ਟੈਸਟ ਜਾਇਜ਼ ਸੇਵਾ ਸਰਟੀਫਿਕੇਟ ਚੇਨਾਂ ਦਾ ਦਾਇਰਾ ਵਧੇਗਾ। S19

ਅਧਿਕਾਰੀ ਰੱਦ ਕਰਨ ਦੀ ਜਾਂਚ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦਾ ਵਿਕਲਪ ਵੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਪਰ ਪ੍ਰਭਾਵ ਅਸਲ TLS ਲਾਗੂ ਕਰਨ, ਰੱਦ ਕਰਨ ਦੀ ਸੇਵਾ ਦੀ ਪਹੁੰਚਯੋਗਤਾ ਅਤੇ ਅਸਫਲਤਾ ਰਣਨੀਤੀ ‘ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ। ਆਮ ਤੈਨਾਤੀਆਂ ਲਈ, ਸਬੂਤ ਵਜੋਂ ਦੋ JVM ਸਵਿੱਚਾਂ ਦਾ ਇਲਾਜ ਕਰਨ ਤੋਂ ਬਚਣ ਲਈ ਪੂਰੇ ਵਿਕਰੇਤਾ ਅੱਪਡੇਟਾਂ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਨੂੰ ਤਰਜੀਹ ਦਿਓ ਕਿ ਸਾਰੀਆਂ TLS ਲਾਇਬ੍ਰੇਰੀਆਂ ਫਿਕਸ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ।

4.2 Tomcat: ਪ੍ਰਮਾਣੀਕਰਨ ਬਾਈਪਾਸ ਅਤੇ ਕਰਾਸ-ਯੂਜ਼ਰ ਬੇਨਤੀ ਆਈਸੋਲੇਸ਼ਨ

ਹੇਠ ਲਿਖੀਆਂ ਤਿੰਨ ਆਈਟਮਾਂ 2026-10-20 ‘ਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ; ਮੁਰੰਮਤ ਕੀਤੇ ਸੰਸਕਰਣ ਐਂਟਰੀ ਦੀ ਮਿਤੀ October 12 ਹੈ। Apache ਦਾ ਅਧਿਕਾਰਤ ਗ੍ਰੇਡ Important ਹੈ। S21 S22 S23

CVE	ਪ੍ਰਭਾਵਿਤ ਸੰਸਕਰਣਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ	ਲੋੜੀਂਦੇ ਦ੍ਰਿਸ਼/ਨਤੀਜੇ
CVE-2026-101296	9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26	JNDIRealm ਗੈਰ-GSSAPI SASL ਪ੍ਰਮਾਣੀਕਰਨ ਵਿਧੀ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਦਾ ਹੈ, ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਪੁਸ਼ਟੀਕਰਨ ਗੁੰਮ ਹੈ, ਅਤੇ ਗਲਤ ਪਾਸਵਰਡ ਵੀ ਪਾਸ ਹੋ ਸਕਦੇ ਹਨ
CVE-2026-101356	9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26	HTTP/2 ਦੀ ਅਸਿੰਕਰੋਨਸ ਸਰਵਲੇਟ ਗਲਤੀ ਨਾਲ ਆਬਜੈਕਟ ਨੂੰ ਰੀਸਾਈਕਲ/ਪੁਨਰ-ਵਰਤਣ ਵਿੱਚ ਗਲਤੀ ਹੈ, ਜਿਸ ਨਾਲ ਉਪਭੋਗਤਾਵਾਂ ਵਿਚਕਾਰ ਬੇਨਤੀਆਂ ਜਾਂ ਜਵਾਬ ਮਿਲਾਏ ਜਾ ਰਹੇ ਹਨ
CVE-2026-103119	ਸਿਰਫ਼ 11.0.0-M25—11.0.26 ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ	ਵੱਡੇ AJP ਗੈਰ-ਬਲੌਕਿੰਗ ਰਾਈਟਸ ਇੱਕ ਬਫਰ ਅੰਡਰ-ਰੀਡ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ, ਬਾਅਦ ਵਿੱਚ ਬੇਨਤੀਆਂ ਵਿੱਚ ਪਿਛਲੇ ਜਵਾਬ ਡੇਟਾ ਨੂੰ ਉਜਾਗਰ ਕਰ ਸਕਦੇ ਹਨ।

ਅਨੁਸਾਰੀ ਫਿਕਸ 9.0.123 / 10.1.61 / 11.0.27 ਹੈ; ਘੋਸ਼ਣਾ ਦੇ ਅਨੁਸਾਰ AJP ਨੂੰ ਸਿਰਫ਼ Tomcat 11 ਵਜੋਂ ਸੂਚੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਉਸੇ ਸਮੱਸਿਆ ਨਾਲ ਤਿੰਨ ਸ਼ਾਖਾਵਾਂ ਵਿੱਚ ਵਿਸਤਾਰ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। S21 S22 S23

JNDIRealm ਪੈਚ ਅਸਲ ਪ੍ਰਮਾਣੀਕਰਣ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇੱਕ ਤਸਦੀਕ ਗੈਪ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ, ਜਿੱਥੇ “ਐਪਲੀਕੇਸ਼ਨ ਲੌਗਇਨ ਇੰਟਰਫੇਸ ਆਮ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ” ਨੂੰ ਤਸਦੀਕ ਦੀ ਬਜਾਏ ਵਰਤਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ। ਸੇਵਾ ਦੀ ਅਸਲ ਸੰਰਚਨਾ ਲਈ Realm, SASL ਵਿਧੀਆਂ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ, ਅਤੇ ਗਲਤ ਪਾਸਵਰਡਾਂ ਲਈ ਟੈਸਟ ਫੇਲ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ। S24

ਅੰਤਰਮ ਲਾਗੂ ਕਰਨ ਦੇ ਸੁਝਾਅ: ਪ੍ਰਭਾਵਿਤ ਪ੍ਰਮਾਣਿਕਤਾ ਮਾਰਗ ਨੂੰ ਅਲੱਗ ਕਰਦਾ ਹੈ; ਕਾਰੋਬਾਰ ਦੀ ਇਜਾਜ਼ਤ ਦੇਣ ‘ਤੇ HTTP/2 Tomcat ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਮੁਅੱਤਲ ਕਰੋ; ਬੇਕਾਰ AJP ਬੰਦ ਕਰੋ। ਸਿਰਫ AJP ਪੋਰਟ ਤੱਕ ਸਿੱਧੀ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਨਾ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਕਿ ਕਾਨੂੰਨੀ ਫਰੰਟ ਪ੍ਰੌਕਸੀ ਦੁਆਰਾ ਦਾਖਲ ਹੋਣ ਵਾਲੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾਵੇਗਾ। ਅਧਿਕਾਰਤ ਅੱਪਡੇਟ ਤੋਂ ਬਾਅਦ, ਦੋ ਸੁਤੰਤਰ ਉਪਭੋਗਤਾਵਾਂ ਦੀਆਂ ਅਸਿੰਕਰੋਨਸ ਸਮਕਾਲੀ ਬੇਨਤੀਆਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਕਿ ਪਛਾਣਾਂ ਅਤੇ ਜਵਾਬਾਂ ਵਿਚਕਾਰ ਕੋਈ ਅੰਤਰ-ਬਾਤ ਨਹੀਂ ਹੈ।

ਹਵਾਲਾ: 4.3 Spring for GraphQL：CVE-2026-59285

ਜਨਤਕ ਮਿਤੀ: 2026-08-20; High. ਪ੍ਰਭਾਵਿਤ 2.0.0—2.0.4, ਮੁਰੰਮਤ 2.0.5 (OSS) ਜਾਂ 2.0.4.1 (ਵਪਾਰਕ ਸਹਾਇਤਾ)। S25

ਇਹ ਪੇਜਿੰਗ ਪੁੱਛਗਿੱਛਾਂ ਵਿੱਚ ਇੱਕ ਅਸੁਰੱਖਿਅਤ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਜੋਖਮ ਹੈ। ਅਧਿਕਾਰਤ ਲੋੜ ਇਹ ਹੈ ਕਿ ਹੇਠ ਲਿਖੀਆਂ ਸ਼ਰਤਾਂ ਨੂੰ ਉਸੇ ਸਮੇਂ ਪੂਰਾ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ:

Spring for GraphQL ਦੀ ਵਰਤੋਂ ਕਰੋ।
ਜੈਕਸਨ 2.x ਦੀ ਵਰਤੋਂ ਕਰਕੇ JSON ਨੂੰ ਡੀਸੀਰੀਅਲਾਈਜ਼ ਕਰੋ।
ਬਾਹਰੀ ਦੁਨੀਆ ਨੂੰ ਕਨੈਕਸ਼ਨ ਪੇਜਿੰਗ ਖੇਤਰ ਪ੍ਰਦਾਨ ਕਰੋ।
ਕਲਾਸਪਾਥ ਵਿੱਚ ਖਾਸ ਕਲਾਸਾਂ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਇੰਸਟੈਂਟੇਸ਼ਨ ਜਾਂ ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਦੌਰਾਨ ਅਚਾਨਕ ਤਰਕ ਕਰ ਸਕਦੀਆਂ ਹਨ।

ਸ਼ਰਤਾਂ ਪੂਰੀਆਂ ਹੋਣ ‘ਤੇ ਇੱਕ ਖਤਰਨਾਕ GraphQL ਬੇਨਤੀ RCE ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੀ ਹੈ। ਇਸਨੂੰ “ਜੈਕਸਨ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਾਰੇ Java ਪ੍ਰੋਗਰਾਮਾਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ” ਤੱਕ ਘਟਾਇਆ ਨਹੀਂ ਜਾ ਸਕਦਾ। S25

2.0.4 ਨਾਕਾਫ਼ੀ ਕਿਉਂ ਹੈ: ਜੂਨ ਵਿੱਚ, CVE-2026-41699 ਨੇ 2.0.4 ਵਰਗੀਆਂ ਪੈਚ ਬੇਸਲਾਈਨ ਦਿੱਤੀਆਂ ਸਨ, ਅਤੇ ਅਗਸਤ ਵਿੱਚ ਘੋਸ਼ਣਾ ਵਿੱਚ ਸਪਸ਼ਟ ਤੌਰ ‘ਤੇ 2.0.4 ਦੇ ਨਵੇਂ ਸਕੋਪ ਪ੍ਰਭਾਵ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਇਸ ਲਈ, ਮੁਰੰਮਤ ਰਿਕਾਰਡ ਨੂੰ ਬਾਅਦ ਦੀਆਂ ਘੋਸ਼ਣਾਵਾਂ ਦੇ ਅਨੁਸਾਰ ਅਪਡੇਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਪੁਰਾਣੇ CVE ਦਾ ਘੱਟੋ ਘੱਟ ਸੰਸਕਰਣ ਵਰਤਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ। S26

ਜਦੋਂ ਅੱਪਗ੍ਰੇਡ ਅਸਥਾਈ ਤੌਰ ‘ਤੇ ਅਣਉਪਲਬਧ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਪ੍ਰਭਾਵਿਤ ਪੰਨਾਕਰਨ ਖੇਤਰ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਕਾਲਰਾਂ ਲਈ ਪਹੁੰਚਯੋਗ ਹਨ, ਨੂੰ ਮੁਅੱਤਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ; ਡੀਸੀਰੀਅਲਾਈਜ਼ ਕਰਨ ਯੋਗ ਕਿਸਮਾਂ ਅਤੇ ਕਲਾਸ ਮਾਰਗਾਂ ਨੂੰ ਛੋਟਾ ਕਰਨਾ ਇੱਕ ਡੂੰਘਾਈ ਵਾਲਾ ਉਪਾਅ ਹੈ। ਰਿਗਰੈਸ਼ਨਾਂ ਵਿੱਚ ਕਾਨੂੰਨੀ ਕਰਸਰ, ਪੰਨਾਬੱਧ ਨਤੀਜੇ, ਅਤੇ ਅਪਵਾਦ ਇਨਪੁਟ ਅਸਵੀਕਾਰਨ ਸ਼ਾਮਲ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਅੰਤਮ ਐਪਲੀਕੇਸ਼ਨ JAR ਦੇ ਅੰਦਰ ਅਸਲ ਕੰਪੋਨੈਂਟ ਸੰਸਕਰਣਾਂ ਦੀ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

4.4 Spring Security: CVE-2026-59270 ਅਤੇ ਸੰਬੰਧਿਤ ਪ੍ਰਮਾਣੀਕਰਨ ਜੋਖਮ

CVE-2026-59270, 2026-08-20, Critical. ਏਮਬੇਡਡ UnboundIdContainer ਜਾਣੇ-ਪਛਾਣੇ ਪ੍ਰਸ਼ਾਸਕ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਰਜਿਸਟਰ ਕਰਦਾ ਹੈ ਅਤੇ ਸਾਰੇ ਨੈੱਟਵਰਕ ਇੰਟਰਫਾਸ ‘ਤੇ ਸੁਣਦਾ ਹੈ। ਜਦੋਂ ਕੰਪੋਨੈਂਟ ਸਮਰੱਥ ਹੁੰਦਾ ਹੈ ਅਤੇ ਪੋਰਟ ਪਹੁੰਚਯੋਗ ਹੁੰਦਾ ਹੈ, ਇੱਕ ਹਮਲਾਵਰ ਡਾਇਰੈਕਟਰੀ ਡੇਟਾ ਨੂੰ ਪੜ੍ਹ ਜਾਂ ਸੋਧ ਸਕਦਾ ਹੈ; ਉਹ ਪ੍ਰੋਜੈਕਟ ਜੋ ਆਮ ਤੌਰ ‘ਤੇ Spring Security ਨੂੰ ਪੇਸ਼ ਕਰਦੇ ਹਨ, LDAP ਨੂੰ ਸਵੈਚਲਿਤ ਤੌਰ ‘ਤੇ ਪ੍ਰਗਟ ਨਹੀਂ ਕਰਨਗੇ। S27

ਪ੍ਰਭਾਵਿਤ ਖੇਤਰ:

ਸ਼ਾਖਾ	ਪ੍ਰਭਾਵਿਤ	ਪਹਿਲਾਂ ਫਿਕਸ/ਐਕਵਾਇਰ ਚੈਨਲ
7.1	7.1.0	7.1.1 OSS; ਵਪਾਰਕ 7.1.0.1 ਵੀ
7.0	7.0.0—7.0.6	7.0.7 OSS; ਵਪਾਰਕ 7.0.6.1 ਵੀ
6.5 / 6.4	6.5.0—6.5.11；6.4.0—6.4.18	6.5.12/6.4.19, ਵਪਾਰਕ
5.8 / 5.7	5.8.0—5.8.27；5.7.0—5.7.25	5.8.28/5.7.26, ਵਪਾਰਕ

ਸਰੋਤ: S27. spring.ldap.embedded.* ਆਟੋਮੈਟਿਕ ਕੌਂਫਿਗਰੇਸ਼ਨ ਅਤੇ ਡਾਇਰੈਕਟ ਇੰਸਟੈਂਟੇਸ਼ਨ ਕੋਡ ਦਾ ਨਿਪਟਾਰਾ ਕਰੋ; ਕੰਪੋਨੈਂਟ ਨੂੰ ਬੰਦ ਕਰੋ ਜਦੋਂ ਇਸਦੀ ਉਤਪਾਦਨ ਲਈ ਲੋੜ ਨਾ ਹੋਵੇ, ਅਤੇ ਅਸਲ ਸੁਣਨ ਦੇ ਪਤੇ ਦੀ ਜਾਂਚ ਕਰੋ। ਜਦੋਂ ਕਾਰੋਬਾਰ ਨੂੰ ਅਸਲ ਵਿੱਚ ਇਸਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਤਾਂ ਪਹਿਲਾਂ ਕਾਲਿੰਗ ਸਰੋਤਾਂ ਨੂੰ ਸੀਮਤ ਕਰੋ ਅਤੇ ਫਿਰ ਕੰਪੋਨੈਂਟ ਅੱਪਗਰੇਡ ਨੂੰ ਪੂਰਾ ਕਰੋ।

ਸੰਬੰਧਿਤ ਪ੍ਰਮਾਣਿਕਤਾ ਸਮੱਸਿਆ: CVE-2026-47841 ( High ). WebAuthn ਯੂਜ਼ਰ ਪ੍ਰਮਾਣਿਕਤਾ ‘ਤੇ ਸੈੱਟ ਹੈ REQUIRED , ਅਤੇ ਦੇ ਬਾਅਦ HTTP ਸੈਸ਼ਨ ਨੂੰ ਵਿਤਰਿਤ ਸਟੋਰੇਜ ਦੁਆਰਾ ਲੜੀਬੱਧ ਕੀਤਾ ਗਿਆ ਹੈ, ਗਲਤ ਆਬਜੈਕਟ ਪਛਾਣ ਦੀ ਤੁਲਨਾ ਪ੍ਰਮਾਣੀਕਰਨ ਲੋੜ ਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੀ ਹੈ। ਹਮਲੇ ਲਈ ਹਮਲਾਵਰ ਕੋਲ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣੀਕਰਣ ਡਿਵਾਈਸ ਦਾ ਕਬਜ਼ਾ ਹੋਣ ਦੀ ਵੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਨਾ ਕਿ ਬਿਨਾਂ ਕਿਸੇ ਡਿਵਾਈਸ ਦੇ ਮਨਮਾਨੇ ਰਿਮੋਟ ਲੌਗਇਨ. ਦੇ ਅਨੁਸਾਰੀ ਪ੍ਰਭਾਵਿਤ ਸੰਸਕਰਣਾਂ ਲਈ 7.1 , 7.0 , 6.5 , ਅਤੇ 6.4 , ਪੈਚ ਬੇਸਲਾਈਨ ਉਪਰੋਕਤ ਸਾਰਣੀ ਵਿੱਚ ਇਹਨਾਂ ਸ਼ਾਖਾਵਾਂ ਨਾਲ ਇਕਸਾਰ ਹੈ; ਤਸਦੀਕ ਵਿੱਚ ਕਰਾਸ-ਨੋਡ ਸੈਸ਼ਨਾਂ ਨੂੰ ਕਵਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਪਿੰਨ/ਬਾਇਓਮੈਟ੍ਰਿਕ ਤਸਦੀਕ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। S28

5. Python ਈਕੋਸਿਸਟਮ: ਦੁਭਾਸ਼ੀਏ, ਮਿਆਰੀ ਲਾਇਬ੍ਰੇਰੀ, ਫਰੇਮਵਰਕ ਅਤੇ ਸਰਟੀਫਿਕੇਟ

5.1 CVE-2026-19445: SNI ਕਾਲਬੈਕ ਵਿੱਚ SSLContext UAF

ਪ੍ਰਕਾਸ਼ਨ ਮਿਤੀ: 2026-09-30; PSF ਪੱਧਰ: Critical. Python ਸਰਵਰ TLS ਵਿੱਚ, sni_callback ਕਨੈਕਸ਼ਨ ਨੂੰ ਕਿਸੇ ਹੋਰ SSLContext ਨਾਲ ਬਦਲਦਾ ਹੈ, ਅਤੇ ਜਦੋਂ ਮੂਲ ਸੰਦਰਭ ਦਾ ਕੋਈ ਸੰਦਰਭ ਨਾ ਹੋਵੇ, ਅਣ-ਪ੍ਰਮਾਣਿਤ TLS ਕਲਾਇੰਟ ਸੇਵਾ ਨੂੰ ਕਰੈਸ਼ ਕਰ ਸਕਦਾ ਹੈ ਜਾਂ ਜਾਰੀ ਕੀਤੇ ਆਬਜੈਕਟ ਵਿੱਚ ਇੱਕ ਪੁਆਇੰਟਰ ਨੂੰ ਕਾਲ ਕਰ ਸਕਦਾ ਹੈ। S29

ਮੁੱਖ ਗੱਲ ਇਹ ਹੈ ਕਿ Python ਆਬਜੈਕਟ ਅੰਡਰਲਾਈੰਗ TLS ਕਾਲਬੈਕ ਜੀਵਨ ਚੱਕਰ ਨਾਲ ਅਸੰਗਤ ਹੈ। ਮੂਲ ਸੰਦਰਭ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਅੰਡਰਲਾਈੰਗ ਪਰਤ ਅਜੇ ਵੀ ਕਾਲਬੈਕ ਲਈ ਲੋੜੀਂਦੀ ਸਥਿਤੀ ਰੱਖ ਸਕਦੀ ਹੈ; ਹਵਾਲਾ ਜੀਵਨ ਚੱਕਰ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ ਅਨੁਵਾਦਕ ਮੂਲ ਪੈਚ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। S47

Scope: Python ਕੋਡ ਜੋ ਸਿਰਫ਼ ਇੱਕ TLS ਕਲਾਇੰਟ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ ਇਸ ਆਈਟਮ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦਾ ਹੈ; ਲੰਬੇ ਸਮੇਂ ਲਈ ਅਸਲ ਸੰਦਰਭ ਨੂੰ ਰੱਖਣ ਵਾਲੇ ਸੁਣਨ ਵਾਲੇ ਸਾਕਟ ਦਾ ਆਮ ਮੋਡ ਘੋਸ਼ਣਾ ਵਿੱਚ ਦੱਸੇ ਗਏ ਖਾਸ ਅਸਫਲਤਾ ਮਾਰਗ ਵਿੱਚ ਨਹੀਂ ਆਉਂਦਾ ਹੈ। Nginx TLS ਨੂੰ ਖਤਮ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਇਹ ਸਿਰਫ ਸਥਾਨਕ HTTP ਨੂੰ Python ਨੂੰ ਸੌਂਪਦਾ ਹੈ, ਅਤੇ Python ਸਿੱਧੇ ਤੌਰ ‘ਤੇ SNI ਨੂੰ ਆਪਣੇ ਆਪ ਹੈਂਡਲ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਇੱਕ ਵੱਖਰੀ ਹਮਲੇ ਵਾਲੀ ਸਤਹ ਹੈ। S29

3.10—3.14 ਫਿਕਸਡ ਵਰਜ਼ਨ ਦੇ ਅਨੁਸਾਰ, ਸੈਕਸ਼ਨ 2.3. 3.15 ਦੀ ਮੁਰੰਮਤ ਕੀਤੀ ਗਈ ਹੈ, ਅਤੇ 3.15.1 ਨੂੰ ਅਸਲ ਵਿੱਚ ਚੁਣਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਸਿਰਫ਼ pip ਨਿਰਭਰਤਾ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ ਦੁਭਾਸ਼ੀਏ ਦੇ _ssl ਲਾਗੂਕਰਨ ਨੂੰ ਨਹੀਂ ਬਦਲ ਸਕਦਾ। S33 S35 S47

ਅਧਿਕਾਰਤ ਅਸਥਾਈ ਨਿਘਾਰ: ਉਹਨਾਂ ਸਾਰੇ SSLContext ਲਈ ਮਜ਼ਬੂਤ ਸੰਦਰਭ ਰੱਖਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੇ ਸਰਵਰ ਜੀਵਨ ਚੱਕਰ ਦੇ ਅੰਤ ਤੱਕ SNI ਕਾਲਬੈਕ ਸੈੱਟ ਕੀਤਾ ਹੈ। ਇਹ ਅਸਲ ਗਤੀਸ਼ੀਲ ਰਚਨਾ ਅਤੇ ਸਵਿਚਿੰਗ ਮਾਰਗਾਂ ਨੂੰ ਕਵਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ; ਕਸਟਮ OpenSSL 1.1.1 ਬਿਲਡ ਨੂੰ ਅਧਿਕਾਰਤ ਮੁੱਦੇ ਦੇ ਰਿਕਾਰਡ ਦੇ ਨਾਲ ਜੋੜ ਕੇ ਮੁੜ ਗੱਲਬਾਤ ਦੀਆਂ ਸਥਿਤੀਆਂ ਦੀ ਵੀ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਅੱਪਡੇਟ ਨੂੰ ਪੂਰਾ ਕਰਨ ਨੂੰ ਤਰਜੀਹ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ। S29 S47

5.2 CVE-2026-19553: ਹੋਸਟਨਾਮ ਫਲੈਗ ਚਾਲੂ ਹੈ, ਪਰ ਕਾਲ ਕਰਨ ਵੇਲੇ ਹੋਸਟਨਾਮ ਗੁੰਮ ਹੈ

ਜਨਤਕ ਮਿਤੀ: 2026-09-30; High. ਜਦੋਂSSLContext.check_hostname=True, ਜੇਕਰ wrap_bio() ਨੂੰ server_hostname ਵਿੱਚ ਪਾਸ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਅਸਲ ਲਾਗੂਕਰਨ ਹੋਸਟਨਾਮ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਚੁੱਪਚਾਪ ਛੱਡ ਸਕਦਾ ਹੈ। ਸਫਲਤਾਪੂਰਵਕ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਤਸਦੀਕ ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਟੀਚਾ ਡੋਮੇਨ ਨਾਮ ਵੀ ਮੇਲ ਖਾਂਦਾ ਹੈ। S30

ਉਪਚਾਰ ਲਈ ਦੋਵਾਂ ਕਦਮਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ:

ਸੈਕਸ਼ਨ 2.3. ਵਿੱਚ ਸੂਚੀਬੱਧ ਦੁਭਾਸ਼ੀਏ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ
wrap_bio(), ਸੰਬੰਧਿਤ asyncio.create_connection() / loop.start_tls() ਮਾਰਗਾਂ ਦੀ ਜਾਂਚ ਕਰੋ, ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ ਉਮੀਦ ਕੀਤੇ ਅਤੇ ਗੈਰ-ਖਾਲੀ ਹੋਸਟਨਾਮ ਵਿੱਚ ਪਾਸ ਕਰੋ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਚਾਲੂ ਰੱਖੋ। S30

**ਅਨੁਕੂਲਤਾ ਅੰਤਰ ਜਿਨ੍ਹਾਂ ਨੂੰ ਛੱਡਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ ਹੈ:**3.10, 3.11, 3.12 ਅਨੁਕੂਲਤਾ ਲਈ ਹਨ, ਸਿਰਫ DeprecationWarning ਕੁਝ ਮਾਮਲਿਆਂ ਲਈ ਜਾਰੀ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਿੱਥੇ ਹੋਸਟ ਨਾਂ ਗੁੰਮ ਹੈ; 3.13 ਅਤੇ ਬਾਅਦ ਵਿੱਚ ValueError ਨੂੰ ਵਧਾਓ। 3.12 ਬੈਕਪੋਰਟ ਵੀ ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ None ਨੂੰ ਖਾਲੀ ਸਤਰ ਤੋਂ ਵੱਖਰਾ ਕਰਦਾ ਹੈ: None ਲਈ ਇੱਕ ਨਵੀਂ ਚੇਤਾਵਨੀ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ, ਅਤੇ ਖਾਲੀ ਸਤਰ ਲਈ ਇੱਕ ਤਰੁੱਟੀ ਅਜੇ ਵੀ ਰਿਪੋਰਟ ਕੀਤੀ ਗਈ ਹੈ। ਇਸ ਲਈ, ਘੱਟ-ਸ਼ਾਖਾ ਉਪਭੋਗਤਾ ਇਹ ਨਹੀਂ ਮੰਨ ਸਕਦੇ ਹਨ ਕਿ ਅਸਲ ਵਿੱਚ ਗੁੰਮ ਹੋਏ ਡੋਮੇਨ ਨਾਮ ਦੀ ਤਸਦੀਕ ਨੂੰ ਸਿਰਫ਼ ਅੱਪਗਰੇਡ ਕਰਕੇ ਆਪਣੇ ਆਪ ਹੀ ਬਹਾਲ ਕੀਤਾ ਗਿਆ ਹੈ। S31 S33

ਇੱਕ ਟੈਸਟ ਵਾਤਾਵਰਣ ਵਿੱਚ, ਇੱਕ ਬੇਮੇਲ ਹੋਸਟਨਾਮ ਦੇ ਨਾਲ ਇੱਕ ਭਰੋਸੇਯੋਗ-ਚੇਨ ਸਰਟੀਫਿਕੇਟ ਦੀ ਵਰਤੋਂ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਅਸਲ ਐਪਲੀਕੇਸ਼ਨ TLS ਕਲਾਇੰਟ ਇਸਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਸਿਰਫ਼ check_hostname ਬੁਲੀਅਨ ਮੁੱਲ ਨੂੰ ਪੜ੍ਹਨਾ ਪੂਰੀ ਸਵੀਕ੍ਰਿਤੀ ਦਾ ਗਠਨ ਨਹੀਂ ਕਰਦਾ ਹੈ।

5.3 CVE-2026-82049: ਟਾਰਫਾਈਲ ਫਿਲਟਰ ਵਿੱਚ ਲਿੰਕ ਸੁਮੇਲ ਬਾਈਪਾਸ

ਜਨਤਕ ਮਿਤੀ: 2026-09-14; High . ਵਿੱਚ CPython 3.13 ਅਤੇ ਪਹਿਲਾਂ ਸੰਬੰਧਿਤ ਲਾਗੂਕਰਨ, ਹਾਰਡ ਲਿੰਕਸ ਅਤੇ ਅਵਿਸ਼ਵਾਸੀ ਟਾਰ ਵਿੱਚ ਪ੍ਰਤੀਕ ਲਿੰਕਾਂ ਦਾ ਸੁਮੇਲ ਇਸ ਨੂੰ ਬਾਈਪਾਸ ਕਰ ਸਕਦਾ ਹੈ data / tar ਐਕਸਟਰੈਕਸ਼ਨ ਫਿਲਟਰ, ਅਨਪੈਕਿੰਗ ਟ੍ਰੀ ਵਿੱਚ ਅਨਪੈਕਿੰਗ ਡਾਇਰੈਕਟਰੀ ਦੇ ਬਾਹਰ ਫਾਈਲਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਉਜਾਗਰ ਕਰਨਾ, ਜਾਂ ਉਹਨਾਂ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਅਤੇ ਸੋਧ ਸਮੇਂ ਨੂੰ ਸੋਧਣਾ। S32

ਇਸ ਕਮਜ਼ੋਰੀ ਦੇ ਪੁਸ਼ਟੀ ਕੀਤੇ ਪ੍ਰਭਾਵਾਂ ਵਿੱਚ ਫਾਈਲ ਸਮੱਗਰੀ ਐਕਸਪੋਜ਼ਰ ਅਤੇ ਮੈਟਾਡੇਟਾ ਸੋਧ ਸ਼ਾਮਲ ਹਨ; ਇਹ ਪ੍ਰਭਾਵ ਇਕੱਲੇ ਬਾਹਰੀ ਫਾਈਲ ਸਮੱਗਰੀ ਦੀ ਮਨਮਾਨੀ ਓਵਰਰਾਈਟਿੰਗ ਜਾਂ RCE ਦੇ ਬਿਨਾਂ ਸ਼ਰਤ ਲਾਗੂ ਕਰਨ ਲਈ ਕਾਫੀ ਨਹੀਂ ਹਨ।

ਦੇ ਅਨੁਸਾਰੀ ਪੈਚ ਬੇਸਲਾਈਨ ਲਈ 3.10 — 3.13 , ਸੈਕਸ਼ਨ ਦੇਖੋ 2.3. Python 3.14 ਦੇ ਕਾਰਨ ਇਸ ਖਾਸ ਮੁੱਦੇ ਤੋਂ ਛੋਟ ਦਿੱਤੀ ਗਈ ਹੈ os.link() ਉਦੋਂ ਤੋਂ ਵਿਹਾਰ ਬਦਲਦਾ ਹੈ 3.14.0b1 , ਇਸ ਲਈ ਪ੍ਰਭਾਵਿਤ ਦਾਇਰੇ 3.10 — 3.13 ਉਪਰੋਕਤ ਸ਼ਾਖਾ ਲਾਗੂ ਨਹੀਂ ਹੁੰਦੀ। S33

ਅਸਥਾਈ ਅਤੇ ਡੂੰਘਾਈ ਵਾਲੇ ਉਪਾਅ: ਗੈਰ-ਭਰੋਸੇਯੋਗ ਪੁਰਾਲੇਖਾਂ ਦੇ ਆਟੋਮੈਟਿਕ ਐਕਸਟਰੈਕਸ਼ਨ ਨੂੰ ਮੁਅੱਤਲ ਕਰਦਾ ਹੈ; ਅਲੱਗ-ਥਲੱਗ ਘੱਟ-ਅਧਿਕਾਰ ਵਾਲੇ ਵਰਕਰ ਪ੍ਰਕਿਰਿਆਵਾਂ ਅਤੇ ਨਵੀਆਂ ਵਿਸ਼ੇਸ਼ ਡਾਇਰੈਕਟਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰੋ ਜਦੋਂ ਕਾਰੋਬਾਰ ਦੀ ਪ੍ਰਕਿਰਿਆ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ, ਵਪਾਰ ਦੁਆਰਾ ਪ੍ਰਤੀਕ ਲਿੰਕਾਂ, ਹਾਰਡ ਲਿੰਕਾਂ ਅਤੇ ਡਿਵਾਈਸ ਐਂਟਰੀਆਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰੋ, ਅਤੇ ਫਾਈਲਾਂ ਅਤੇ ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਸਰੋਤਾਂ ਦੀ ਸੰਖਿਆ ਨੂੰ ਸੀਮਤ ਕਰੋ। ਇਹ ਤੈਨਾਤੀ ਦੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਹਨ।

filter="data" ਆਮ ਭਰੋਸੇਮੰਦ ਪੁਰਾਲੇਖਾਂ ਲਈ ਪੂਰੀ ਭਰੋਸੇ ਵਾਲੀ ਰਣਨੀਤੀ ਨਾਲੋਂ ਵਧੇਰੇ ਢੁਕਵਾਂ ਹੈ, ਪਰ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ‘ਤੇ ਫਿਲਟਰ ਖੁਦ ਵੀ ਇਹ ਕਮਜ਼ੋਰੀ ਰੱਖਦਾ ਹੈ, ਅਤੇ ਇਸ ਪੈਰਾਮੀਟਰ ਨੂੰ ਇਕੱਲੇ ਜੋੜਨਾ ਅਪਡੇਟ ਨੂੰ ਨਹੀਂ ਬਦਲ ਸਕਦਾ ਹੈ। ਫਿਲਟਰ ਇੱਕ ਪੂਰਾ ਫਾਈਲ ਸਿਸਟਮ ਸੈਂਡਬੌਕਸ ਵੀ ਨਹੀਂ ਹੈ। S32 S45

5.4 ਪੂਰਕ ਜੋਖਮ: CVE-2026-114583 (Medium) ਅਤੇ ਪੈਚ ਰਿਲੀਜ਼ ਸਥਿਤੀ

PSF ਨੇ 2026-10-22 ਵਿੱਚ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ ਕਿ tarfile.tar_filter ਦੀ ਖਾਸ ਲਿੰਕ ਨਾਮਾਂ ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ ਨੂੰ ਬਾਈਪਾਸ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਬਾਅਦ ਦੇ ਮੈਂਬਰਾਂ ਨੂੰ ਅਨਪੈਕਿੰਗ ਡਾਇਰੈਕਟਰੀ ਦੇ ਬਾਹਰ ਲਿਖਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਇੱਕ ਪੱਧਰ ਦੇ ਨਾਲ Medium. ਉਸ ਦਿਨ ਅਧਿਕਾਰਤ ਫਿਕਸ PR ਨੂੰ ਮਿਲਾ ਦਿੱਤਾ ਗਿਆ ਸੀ; 23 ਅਕਤੂਬਰ, 2026 ਤੱਕ, ਇਸ ਵਚਨਬੱਧਤਾ ਵਾਲੀ ਕੋਈ ਵੀ ਅਧਿਕਾਰਤ ਰੱਖ-ਰਖਾਅ ਰੀਲੀਜ਼ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ। S40

ਇਸ ਲਈ:

ਇਹ ਆਈਟਮ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ Medium ਵਜੋਂ ਸੂਚੀਬੱਧ ਹੈ।
21 ਅਕਤੂਬਰ ਨੂੰ ਜਾਰੀ ਕੀਤੇ ਗਏ ਦੁਭਾਸ਼ੀਏ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਇਹ ਫਿਕਸ ਸ਼ਾਮਲ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ।
ਪ੍ਰਕਿਰਿਆ ਜੋ ਅਜੇ ਵੀ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਪੁਰਾਲੇਖਾਂ ਨੂੰ ਸੰਭਾਲਣ ਲਈ filter="tar" ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ, ਰੀਲੀਜ਼ ਬੈਕਪੋਰਟ ਨੂੰ ਟਰੈਕ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ; ਇਸ ਪ੍ਰੋਸੈਸਿੰਗ ਮਾਰਗ ਨੂੰ ਥੋੜ੍ਹੇ ਸਮੇਂ ਲਈ ਅਲੱਗ ਕਰੋ ਜਾਂ ਮੁਅੱਤਲ ਕਰੋ। data ‘ਤੇ ਸਵਿਚ ਕਰਨ ਅਤੇ ਲਿੰਕਾਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਨ ਵੇਲੇ, ਤੁਹਾਨੂੰ ਇਹ ਵੀ ਪੁਸ਼ਟੀ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਕਿ ਇਹ ਕਾਰੋਬਾਰੀ ਲੋੜਾਂ ਨੂੰ ਪੂਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਫਿਲਟਰ ਨੂੰ ਬਦਲਣ ਨੂੰ ਬਿਨਾਂ ਸ਼ਰਤ ਸੈਂਡਬੌਕਸ ਵਜੋਂ ਵਰਣਨ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ।

5.5 GeoDjango: CVE-2026-15307 ਅਤੇ ਅਕਤੂਬਰ ਵਿੱਚ ਅਗਲੇ ਫਿਕਸ

2026-08-04, Django ਅਧਿਕਾਰਤ High. ਸਥਾਨਿਕ ਪੁੱਛਗਿੱਛ ਸਪਸ਼ਟ ਤੌਰ ‘ਤੇ GDALRaster ਨੂੰ ਕੁਝ ਸਟ੍ਰਿੰਗਾਂ/ਡਿਸ਼ਨਰੀਆਂ ਪਾਸ ਕਰਦੀ ਹੈ, ਅਤੇ ਡਰਾਈਵਰ ਨੈੱਟਵਰਕ ਵਿੱਚ ਫਾਈਲਾਂ ਲਿਖ ਸਕਦਾ ਹੈ; RCE ਉਦੋਂ ਬਣ ਸਕਦਾ ਹੈ ਜਦੋਂ ਖਾਸ ਮਾਰਗ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਚੱਲਣ ਦੀਆਂ ਸਥਿਤੀਆਂ ਹੁੰਦੀਆਂ ਹਨ। ਸਥਾਨਿਕ ਫੀਲਡ ਮਾਡਲ ਦੇਖਣ ਦੀ ਇਜਾਜ਼ਤ ਵਾਲਾ ਸਟਾਫ ਵੀ ਐਡਮਿਨ ਚੇਂਜਲਿਸਟ ਰਾਹੀਂ ਇਸ ਮਾਰਗ ਤੱਕ ਪਹੁੰਚ ਕਰ ਸਕਦਾ ਹੈ। S38

ਸ਼ੁਰੂਆਤੀ ਫਿਕਸ 5.2.17 / 6.0.8 ਹੈ, ਜੋ ਸਥਾਨਿਕ ਲੁੱਕਅੱਪ ਦੁਆਰਾ ਸਵੀਕਾਰ ਕੀਤੇ ਗਏ ਇਨਪੁਟ ਕਿਸਮਾਂ ਨੂੰ ਸੀਮਤ ਕਰਦਾ ਹੈ। ਇਹ ਤਬਦੀਲੀ ਰਾਸਟਰ ਨੂੰ ਐਕਸਪ੍ਰੈਸ ਕਰਨ ਲਈ ਸਟ੍ਰਿੰਗ/ਡਕਸ਼ਨਰੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਮੂਲ ਕਾਰੋਬਾਰ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦੀ ਹੈ; ਸਿਰਫ਼ GDALRaster ਵਿੱਚ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਇਨਪੁਟ ਨੂੰ ਸਮੇਟਣ ਦਾ ਮਤਲਬ ਇਸਦੀ ਪੁਸ਼ਟੀ ਕਰਨਾ ਨਹੀਂ ਹੈ। S38

6 ਅਕਤੂਬਰ ਨੂੰ ਸ. CVE-2026-87890 (ਮੱਧਮ) ਮੁਰੰਮਤ ਕੀਤੀ ਗਈ ਸੀ: ਬਾਈਟਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਕੀਤੀ ਗਈ VRT ਬਾਹਰੀ ਸਰੋਤਾਂ ਦਾ ਹਵਾਲਾ ਦੇ ਸਕਦੀ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਨੈੱਟਵਰਕ ਬੇਨਤੀਆਂ ਨੂੰ ਚਾਲੂ ਕਰਦੀ ਹੈ; ਉਸੇ ਦਿਨ, ਨੇਸਟਡ ਜਿਓਮੈਟਰੀ DoS ਦੀ ਸੁਰੱਖਿਆ CVE-2026-15830 ਨੂੰ ਵੀ ਮਜ਼ਬੂਤ ਕੀਤਾ ਗਿਆ ਸੀ। ਨਵੇਂ ਉੱਚ-ਜੋਖਮ ਦਾ ਵਰਣਨ ਕਰਨ ਲਈ ਬਾਅਦ ਵਾਲੇ ਦੋ ਨੂੰ ਅੱਪਗਰੇਡ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ RCE , ਪਰ ਇਹ ਸੰਕੇਤ ਕਰੋ ਕਿ ਤੈਨਾਤੀ ਬੇਸਲਾਈਨ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ 5.2.18 / 6.0.9 / 6.1.2 . S39

ਲਾਗੂਕਰਨ API ਅਤੇ ਪ੍ਰਸ਼ਾਸਨ ਇੰਟਰਫੇਸ ਦੇ ਦੋ ਐਂਟਰੀ ਪੁਆਇੰਟਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ, ਗੈਰ-ਭਰੋਸੇਯੋਗ ਸਥਾਨਿਕ ਲੁੱਕਅਪ, ਫਾਈਲ ਲਿਖਣ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਅਤੇ ਆਊਟਬਾਉਂਡ ਪਹੁੰਚ ਨੂੰ ਪ੍ਰਤਿਬੰਧਿਤ ਕਰਦਾ ਹੈ; ਅੱਪਡੇਟ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਰੀਗਰੈਸ਼ਨ-ਟੈਸਟ ਵੈਧ ਸਥਾਨਿਕ ਪੁੱਛਗਿੱਛਾਂ ਅਤੇ ਵਰਜਿਤ ਇਨਪੁਟ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਨਾ। ਆਮ Django ਐਪਲੀਕੇਸ਼ਨਾਂ ਜੋ GeoDjango ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੀਆਂ ਹਨ ਉਹਨਾਂ ਨੂੰ ਇਸ RCE ਸਿੱਟੇ ਨੂੰ ਸਿੱਧੇ ਤੌਰ ‘ਤੇ ਲਾਗੂ ਨਹੀਂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

5.6 certifi / pip: ਸਰਟੀਫਿਕੇਟ ਟਰੱਸਟ ਹਰ ਕਾਪੀ ਨੂੰ ਕਵਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ CVE ਸੂਚੀਬੱਧ ਨਹੀਂ ਹੈ। ਇਹ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਅਵਿਸ਼ਵਾਸ ਅੱਪਡੇਟ ਹੈ ਜਿਸ ਕਾਰਨ ਹੋਇਆ ਹੈ eMudhra ਵਿਚਕਾਰਲਾ CA ਘਟਨਾ ਇਸ ਨੂੰ HTTPS ਦੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਵਿਧੀ ਵਜੋਂ ਸੰਖੇਪ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਾਂ ਇਹ ਕਿ ਸਾਰੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਕ੍ਰੈਕ ਹੋ ਗਏ ਹਨ। S36

certifi ਸਲਾਹਕਾਰ ਅਸਲ ਵਿੱਚ 2026.10.18 ਨੂੰ ਇੱਕ ਪੈਚ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ; PSF ਨੇ ਬਾਅਦ ਵਿੱਚ ਸਪੱਸ਼ਟ ਤੌਰ ‘ਤੇ 2026.10.19 ਦੀ ਗੈਰ-ਪ੍ਰਭਾਵਿਤ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਨਾਲ ਅਨੁਕੂਲਤਾ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਣ ਲਈ ਸਿਫਾਰਸ਼ ਕੀਤੀ। ਓਪਰੇਟਿੰਗ ਬੇਸਲਾਈਨ ਹੈ।19। S36 S37

ਫਰਕ ਕਰਨ ਦੀ ਲੋੜ ਹੈ:

ਭਰੋਸੇਯੋਗ ਸਮੱਗਰੀ ਦੀ ਸਥਿਤੀ	ਤੁਹਾਨੂੰ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਕਿਉਂ ਹੈ
ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ CA ਪੈਕੇਜ	ਚਿੱਤਰ ਜਾਂ ਹੋਸਟ ਲਈ ਸਿਸਟਮ ਭਰੋਸੇਯੋਗ ਸਮੱਗਰੀ
venv ਵਿੱਚ certifi	CA bundle ਅਸਲ ਵਿੱਚ ਐਪਲੀਕੇਸ਼ਨਾਂ ਜਾਂ ਬੇਨਤੀਆਂ ਆਦਿ ਦੁਆਰਾ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।
pip ਬਿਲਟ-ਇਨ certifi	ਬਾਹਰੀ ਤੌਰ ‘ਤੇ ਸਥਾਪਤ certifi ਨਾਲੋਂ ਵੱਖਰੀ ਕਾਪੀ ਹੈ
uv / ਹੋਰ ਪੈਕੇਜਿੰਗ ਟੂਲ	ਟੂਲ ਦੇ ਆਪਣੇ ਅੱਪਡੇਟਾਂ ਅਤੇ ਭਰੋਸੇਯੋਗ ਸਰੋਤਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ
ਅਨੁਕੂਲਿਤ CA ਫਾਈਲਾਂ, ਪੈਕ ਕੀਤੇ ਸਨੈਪਸ਼ਾਟ	ਸਿਸਟਮ ਜਾਂ ਪੈਕੇਜਾਂ ਲਈ ਡਿਫਾਲਟ ਭਰੋਸੇਯੋਗ ਸਰੋਤਾਂ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰਨਾ ਜਾਰੀ ਰੱਖ ਸਕਦਾ ਹੈ

ਉਪਰੋਕਤ ਵੱਖ-ਵੱਖ ਪੈਕੇਜਿੰਗ ਸਥਾਨਾਂ ‘ਤੇ ਅਧਾਰਤ ਇੱਕ ਚੈਕਲਿਸਟ ਹੈ। PSF ਨੂੰ ਸੰਬੰਧਿਤ ਟੂਲ ਅੱਪਡੇਟ ਕਰਨ, ਮੌਜੂਦਾ ਵਰਚੁਅਲ ਵਾਤਾਵਰਨ ਅਤੇ ਚਿੱਤਰ ਨੂੰ ਮੁੜ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ; ਸਿਰਫ਼ ਹੋਸਟ CA ਨੂੰ ਅੱਪਡੇਟ ਕਰਨਾ ਜਾਂ ਦੁਭਾਸ਼ੀਏ ਨੂੰ ਮੁੜ ਸਥਾਪਿਤ ਕਰਨਾ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਕਿ ਸਾਰੀਆਂ ਕਾਪੀਆਂ ਤਾਜ਼ਾ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। S35 S37

ਪੁਰਾਣੇ pip ਸੁਰੱਖਿਅਤ ਬੂਟਸਟਰੈਪ ਤੋਂ ਅੱਪਗਰੇਡ ਕਰਦੇ ਸਮੇਂ, PSF ਫਿਕਸਡ ਵ੍ਹੀਲ ਅਤੇ SHA-256 ਲਈ ਕਮਾਂਡਾਂ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਅੰਤਿਕਾ S37 ਦੇਖੋ। ਸਰਟੀਫਿਕੇਟ ਮੁੱਦਿਆਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ TLS ਪੁਸ਼ਟੀਕਰਨ ਨੂੰ ਬੰਦ ਨਾ ਕਰੋ ਜਾਂ --trusted-host ਨੂੰ ਸ਼ਾਮਲ ਨਾ ਕਰੋ।

6. ਰਸਮੀ ਉਪਚਾਰ ਪ੍ਰਕਿਰਿਆ

ਹੇਠ ਲਿਖੀਆਂ ਕਮਾਂਡਾਂ ਪੁਸ਼ਟੀ ਕੀਤੇ ਭਰੋਸੇਯੋਗ ਵਾਤਾਵਰਨ ਲਈ ਹਨ। ਐਗਜ਼ੀਕਿਊਟ ਕਰਦੇ ਸਮੇਂ, ਮੌਜੂਦਾ ਪੈਕੇਜ ਮੈਨੇਜਰ, ਲਾਕ ਫਾਈਲ ਅਤੇ ਪ੍ਰੋਜੈਕਟ ਦੀ ਤੈਨਾਤੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਜੋੜਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਤਾਂ ਜੋ npm/pnpm/ਧਾਗੇ ਜਾਂ pip/uv/Poetry ਨੂੰ ਵਿਰੋਧੀ ਲਾਕ ਫਾਈਲਾਂ ਬਣਾਉਣ ਲਈ ਮਿਲਾਉਣ ਤੋਂ ਬਚਿਆ ਜਾ ਸਕੇ।

ਪਹਿਲਾਂ ਅਪਵਾਦ ਨੂੰ ਸੰਭਾਲੋ: ਜੇ ਤੁਹਾਨੂੰ ਸ਼ੱਕ ਹੈ ਕਿ ਵਾਤਾਵਰਣ ਨੇ ਸੈਕਸ਼ਨ 9 ਵਿੱਚ ਸਮਝੌਤਾ ਕੀਤਾ ਪੈਕੇਜ ਚਲਾਇਆ ਹੈ, ਤਾਂ ਪਹਿਲਾਂ ਇਸਨੂੰ ਅਲੱਗ ਕਰੋ ਅਤੇ ਇੱਕ ਸਾਫ਼ ਵਾਤਾਵਰਣ ਤੋਂ ਡਿਸਕ, ਲਾਕ ਫਾਈਲ ਅਤੇ ਚਿੱਤਰ ਰਿਕਾਰਡ ਦੀ ਜਾਂਚ ਕਰੋ; ਪਹਿਲਾਂ ਹੇਠ ਦਿੱਤੀ Python/pip ਕਮਾਂਡ ਨੂੰ ਨਾ ਚਲਾਓ। S41

6.1 ਇੱਕ ਲੇਜ਼ਰ ਸਥਾਪਿਤ ਕਰੋ ਜੋ ਅਸਲ ਟ੍ਰੈਫਿਕ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੋਵੇ

ਹਰੇਕ ਸੇਵਾ ਘੱਟੋ-ਘੱਟ ਰਿਕਾਰਡ ਕਰਦੀ ਹੈ:

ਬਾਹਰੀ ਐਂਟਰੀ ਪੁਆਇੰਟ, ਰਿਵਰਸ ਪ੍ਰੌਕਸੀ, ਮੂਲ ਸਾਈਟ ਲਈ ਸਿੱਧਾ ਕਨੈਕਸ਼ਨ ਮਾਰਗ, ਅਤੇ ਬੈਕਗ੍ਰਾਊਂਡ ਕਤਾਰ/ਨਿਰਧਾਰਤ ਕਾਰਜ।
ਅਸਲ ਸ਼ੁਰੂਆਤੀ ਕਮਾਂਡ, ਚੱਲ ਰਿਹਾ ਖਾਤਾ, ਬਾਈਨਰੀ ਮਾਰਗ, ਪ੍ਰਕਿਰਿਆ ਜਾਂ ਕੰਟੇਨਰ ਪਛਾਣ।
ਰਨਟਾਈਮ ਪੂਰਾ ਸੰਸਕਰਣ, ਪ੍ਰਕਾਸ਼ਕ/ਰਿਪੋਜ਼ਟਰੀ, ਪੈਕੇਜ ਪੂਰਾ ਸੰਸਕਰਣ, ਜਾਂ ਚਿੱਤਰ ਡਾਇਜੈਸਟ।
ਫਰੇਮਵਰਕ ਅਤੇ ਪਰਿਵਰਤਨਸ਼ੀਲ ਨਿਰਭਰਤਾਵਾਂ, ਲਾਕ ਫਾਈਲਾਂ, ਨੇਟਿਵ ਲਾਇਬ੍ਰੇਰੀਆਂ, ਅਤੇ ਟਰੱਸਟ ਸਟੋਰ ਮਾਰਗ।
ਕੀ ਕਮਜ਼ੋਰੀ ਸਥਿਤੀ ਮੌਜੂਦ ਹੈ, ਪੈਚ ਟਾਰਗਿਟ, ਰੀਸਟਾਰਟ ਸਕੋਪ, ਜ਼ਿੰਮੇਵਾਰ ਵਿਅਕਤੀ ਅਤੇ ਪੁਸ਼ਟੀਕਰਨ ਨਤੀਜੇ ਦੇ ਅਨੁਸਾਰ।

ਡਿਵੈਲਪਮੈਂਟ ਮਸ਼ੀਨਾਂ, ਸੀਆਈ ਰਨਰ, ਬਿਲਡ ਕੰਟੇਨਰਾਂ, ਅਤੇ ਬੈਕਗ੍ਰਾਉਂਡ ਕਾਰਜਾਂ ਨੂੰ ਵੀ ਅਵਿਸ਼ਵਾਸੀ ਸਮੱਗਰੀ ਲਈ ਉਹਨਾਂ ਦੇ ਮਾਰਗਾਂ ਦੇ ਅਨੁਸਾਰ ਜਾਂਚਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ; ਸਿਰਫ਼ ਪਬਲਿਕ-ਫੇਸਿੰਗ ਵੈੱਬ ਕੰਟੇਨਰ ਨੂੰ ਅੱਪਡੇਟ ਨਾ ਕਰੋ।

6.2 Node.js: ਪਹਿਲਾਂ ਰਨਟਾਈਮ ਨਿਰਧਾਰਤ ਕਰੋ, ਫਿਰ ਐਪਲੀਕੇਸ਼ਨ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰੋ

ਅਸਲ ਸੇਵਾ ਵਾਤਾਵਰਣ ਦੀ ਜਾਂਚ ਕਰੋ:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p ਸੇਵਾ ਦੇ ਅਸਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਜਾਂ ਅਸਲ ਕੰਟੇਨਰ ਦੇ ਅੰਦਰ ਚਲਾਇਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ; ਇਹ ਨਵੀਆਂ ਸ਼ੁਰੂ ਕੀਤੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਆਪਣੇ ਆਪ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਪੁਰਾਣੇ ਕਰਮਚਾਰੀ ਨੂੰ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਹੈ। Node ਮੂਲ ਲਾਇਬ੍ਰੇਰੀ ਸੰਸਕਰਣ ਸਤਰ ਨੂੰ ਬਰਕਰਾਰ ਰੱਖਦੇ ਹੋਏ ਬਿਲਟ-ਇਨ Brotli ਵਿੱਚ ਪੈਚ ਜੋੜ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ, ਇਹ ਨਿਰਧਾਰਿਤ ਕਰਨ ਲਈ ਕਿ ਕੀ ਇਸਦੀ ਮੁਰੰਮਤ ਕੀਤੀ ਗਈ ਹੈ, ਸਿਰਫ਼ process.versions.brotli ‘ਤੇ ਨਿਰਭਰ ਨਾ ਕਰੋ। ਤੁਹਾਨੂੰ ਇਸਨੂੰ Node ਸੁਰੱਖਿਆ ਸੰਸਕਰਣ ਜਾਂ ਵਿਕਰੇਤਾ ਦੇ ਬੈਕਪੋਰਟ ਸਬੂਤ ਨਾਲ ਜੋੜਨਾ ਚਾਹੀਦਾ ਹੈ। S2 S4

npm ls ਅਸਲ ਨਿਰਭਰਤਾ ਦੇ ਰੁੱਖ ਨੂੰ ਦੇਖਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ; ਗੁੰਮ ਪੈਕੇਜ ਜਾਂ ਪੀਅਰ ਅਪਵਾਦ ਵੀ ਗੈਰ-ਜ਼ੀਰੋ ਐਗਜ਼ਿਟ ਕੋਡ ਪੈਦਾ ਕਰ ਸਕਦੇ ਹਨ, ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਖਾਸ ਆਉਟਪੁੱਟ ਨੂੰ ਪੜ੍ਹਨਾ ਚਾਹੀਦਾ ਹੈ। npm audit ਨੂੰ ਇੱਕ ਨਿਰਭਰਤਾ ਜਾਂਚ ਸਹਾਇਤਾ ਵਜੋਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ Node ਬਾਈਨਰੀ ਅਤੇ ਨੇਟਿਵ ਲਾਇਬ੍ਰੇਰੀ ਜਾਂਚ ਨੂੰ ਬਦਲ ਨਹੀਂ ਸਕਦਾ।

Node 24ਦੇ ਵਾਤਾਵਰਣ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਲਈmise ਦੀ ਵਰਤੋਂ ਕਰੋ, ਜਿਸ ਨੂੰ ਹੇਠਾਂ ਦਿੱਤੇ ਅਨੁਸਾਰ ਅਪਡੇਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g ਗਲੋਬਲ ਸੰਸਕਰਣ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਦਾ ਹੈ; ਪ੍ਰੋਜੈਕਟ ਦੀ ਸਥਾਨਕ ਸੰਰਚਨਾ ਨੂੰ ਅਜੇ ਵੀ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਜਾਂਚਣ ਦੀ ਲੋੜ ਹੈ। ਜੇਕਰ ਸੇਵਾ ਨੇ ਪੁਰਾਣੇ ਸੰਪੂਰਨ ਮਾਰਗ, ਕੰਟੇਨਰ ਬੇਸ ਚਿੱਤਰ, ਜਾਂ ਕਿਸੇ ਵੱਖਰੇ ਖਾਤੇ ਦੇ ਵਾਤਾਵਰਣ ਨੂੰ ਫਿਕਸ ਕੀਤਾ ਹੈ, ਤਾਂ ਸੰਬੰਧਿਤ ਸੰਰਚਨਾ ਨੂੰ ਅੱਪਡੇਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਸੇਵਾ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਕਮਾਂਡ ਖੁਦ ਪੁਰਾਣੀ ਚੱਲ ਰਹੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਨਹੀਂ ਬਦਲਦੀ ਹੈ। S43

Next ਪ੍ਰੋਜੈਕਟ ਵਿੱਚ, ਚੁਣੀ ਗਈ ਸ਼ਾਖਾ ਦੇ ਅਨੁਸਾਰ ਅਨੁਸਾਰੀ ਕਮਾਂਡ ਚਲਾਓ। Next 15 ਲਈ:

# Next 15 分支
npm install --save-exact [email protected]

Next 16 ਲਈ:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC ਅਨੁਕੂਲ ਨਿਰਭਰਤਾਵਾਂ, ਲਾਕ ਫਾਈਲਾਂ ਅਤੇ ਅੰਤਿਮ ਤਿੱਖੇ ਉਦਾਹਰਣ ਦੀ ਜਾਂਚ ਕਰੋ, ਅਤੇ ਫਿਰ ਪ੍ਰੋਜੈਕਟ ਪ੍ਰਕਿਰਿਆ ਦੇ ਅਨੁਸਾਰ ਬਣਾਓ। ਰੀਪ੍ਰੋਡਿਊਸੀਬਲ ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ CI ਵਿੱਚ ਅੱਪਡੇਟ ਕੀਤੀ ਲੌਕ ਫਾਈਲ ਦੀ ਵਰਤੋਂ ਕਰੋ, ਅਤੇ ਬਿਲਡਿੰਗ ਤੋਂ ਬਾਅਦ ਚੱਲ ਰਹੇ ਚਿੱਤਰ ਵਿੱਚ ਵਰਜਨ ਦੀ ਜਾਂਚ ਕਰੋ। ਇਸ ਐਮਰਜੈਂਸੀ ਲਈ ਡਿਫੌਲਟ ਹੱਲ ਵਜੋਂ ਮੁੱਖ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਬੇਕਾਬੂ ਆਟੋਮੈਟਿਕ ਮੁਰੰਮਤ ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ।

6.3 Java: ਪ੍ਰਕਾਸ਼ਕ, ਅਸਲ JVM ਅਤੇ ਏਮਬੇਡ ਕੀਤੇ ਭਾਗਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਸ਼ੁਰੂਆਤੀ ਵਸਤੂ ਸੂਚੀ:

java -XshowSettings:properties -version

ਆਉਟਪੁੱਟ ਵਿੱਚ java.home, java.runtime.version ਅਤੇ ਪ੍ਰਕਾਸ਼ਕ ਨੂੰ ਅਸਲ ਵਿੱਚ ਸੇਵਾ ਦੁਆਰਾ ਵਰਤੀ ਗਈ JVM ਨਾਲ ਇਕਸਾਰ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਟੈਚ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇ ਨਾਲ JVM ਲਈ, JDK ਦਾ jcmd ਟੀਚਾ ਪ੍ਰਕਿਰਿਆ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਨਾ ਕਿ ਸਿਰਫ਼ ਲੌਗਇਨ ਸ਼ੈੱਲ।

ਭਰੋਸੇਯੋਗ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਨਿਰਭਰਤਾ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਅਸਲ ਬਿਲਡ ਟੂਲਸ ਦੇ ਅਧਾਰ ਤੇ ਚੁਣੋ:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

ਇਹ ਬਿਲਡ ਕਮਾਂਡਾਂ ਪਲੱਗ-ਇਨ ਚਲਾ ਸਕਦੀਆਂ ਹਨ ਅਤੇ ਨਿਰਭਰਤਾ ਨੂੰ ਔਨਲਾਈਨ ਹੱਲ ਕਰ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਭਰੋਸੇਯੋਗ ਪ੍ਰੋਜੈਕਟਾਂ ‘ਤੇ ਚੱਲ ਸਕਦੀਆਂ ਹਨ। ਚਿੱਤਰ ਵਿੱਚ ਅੰਤਮ JAR/WAR ਜਾਂ ਅਸਲ JAR ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ ਅੰਤਿਮ ਕਲਾਕ੍ਰਿਤੀ ਲਈ ਬਿਲਡ ਫਾਈਲ ਘੋਸ਼ਣਾਵਾਂ ਦੀ ਥਾਂ ਨਾ ਲਓ। Spring ਬੂਟ ਏਮਬੈਡਡ Tomcat ਲਈ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ; ਸਿਸਟਮ ਵਿੱਚ ਇੱਕ ਵੱਖਰੀ Tomcat ਇੰਸਟਾਲੇਸ਼ਨ ਨੂੰ ਅੱਪਡੇਟ ਕਰਨ ਨਾਲ ਐਪਲੀਕੇਸ਼ਨ ਪੈਕੇਜ ਵਿੱਚ ਕਾਪੀ ਨੂੰ ਸੋਧਿਆ ਨਹੀਂ ਜਾਵੇਗਾ।

ਰਨਟਾਈਮ ਅੱਪਡੇਟ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਕਸਟਮਾਈਜ਼ਡ javax.net.ssl.trustStore, ਐਪਲੀਕੇਸ਼ਨ-ਸਵੈ-ਲੋਡ ਕੀਸਟੋਰ, jlink ਰਨਟਾਈਮ, GraalVM/ਨੇਟਿਵ ਇਮੇਜ ਅਤੇ ਹੋਰ ਡਿਲੀਵਰੀ ਫਾਰਮ ਆਈਟਮ ਦੀ ਜਾਂਚ ਕਰੋ। ਐਪਲੀਕੇਸ਼ਨ ਜਿਹਨਾਂ ਕੋਲ ਪਹਿਲਾਂ ਤੋਂ ਹੀ ਕਸਟਮਾਈਜ਼ਡ ਭਰੋਸੇ ਸਮੱਗਰੀ ਹੈ ਉਹ ਜਾਂਚ ਨੂੰ ਖਤਮ ਨਹੀਂ ਕਰ ਸਕਦੇ ਕਿਉਂਕਿ JDK ਡਾਇਰੈਕਟਰੀ ਨਵੀਂ ਬਣ ਜਾਂਦੀ ਹੈ।

6.4 Python: ਦੁਭਾਸ਼ੀਏ-ਦਰ-ਦੁਭਾਸ਼ੀਏ ਅਤੇ ਵਰਚੁਅਲ ਵਾਤਾਵਰਨ ਪ੍ਰੋਸੈਸਿੰਗ

ਅਸਲ venv/ਕੰਟੇਨਰ ਦੇ ਅੰਦਰ ਭਰੋਸੇਯੋਗ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

ਇਹ ਸਕ੍ਰਿਪਟ ਸਿਰਫ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਦੀ ਹੈ ਅਤੇ ਵਰਜਨ ਯੋਗਤਾ ਨਿਰਧਾਰਨ ਨਹੀਂ ਕਰਦੀ ਹੈ। ssl.get_default_verify_paths() ਪੂਰਵ-ਨਿਰਧਾਰਤ ਮਾਰਗ ਜਾਣਕਾਰੀ ਹੈ ਅਤੇ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰ ਸਕਦੀ ਹੈ ਕਿ ਸਾਰੇ ਥਰਡ-ਪਾਰਟੀ ਕਲਾਇੰਟ ਇੱਕੋ ਟਰੱਸਟ ਸਟੋਰ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ; ਐਪਲੀਕੇਸ਼ਨ ਕੌਂਫਿਗਰੇਸ਼ਨ ਦੇ ਅਧਾਰ ਤੇ ਇਸਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ।

ਅੰਤਿਕਾ S37 ਦੇ ਭਰੋਸੇਯੋਗ pip ਬੂਟ ਅੱਪਗਰੇਡ ਨੂੰ ਪੂਰਾ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਪ੍ਰੋਜੈਕਟ ਸੀਮਾਵਾਂ ਦੇ ਅਨੁਸਾਰ ਸਰਟੀਫਿਕੇਟ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ, ਉਦਾਹਰਨ ਲਈ:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

ਪ੍ਰੋਜੈਕਟ ਦੀਆਂ ਲੋੜਾਂ/ਲਾਕ ਫਾਈਲ ਨੂੰ ਉਸੇ ਸਮੇਂ ਅੱਪਡੇਟ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਨਹੀਂ ਤਾਂ ਅਗਲੀ ਤੈਨਾਤੀ ਪੁਰਾਣੇ ਸੰਸਕਰਣ ‘ਤੇ ਵਾਪਸ ਆ ਸਕਦੀ ਹੈ। uv, ਕਵਿਤਾ, ਜਾਂ ਇੱਕ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ, ਉਹਨਾਂ ਦੀਆਂ ਮੌਜੂਦਾ ਲਾਕਿੰਗ ਅਤੇ ਪ੍ਰਕਾਸ਼ਨ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ; ਸਿਰਫ਼ ਇੱਕ ਉਤਪਾਦਨ ਕੰਟੇਨਰ ਦੇ ਅੰਦਰ ਪੈਕੇਜਾਂ ਨੂੰ ਦਸਤੀ ਨਾ ਸੋਧੋ।

ਪ੍ਰੋਜੈਕਟ ਦੇ ਮੌਜੂਦਾ pip-audit ਵਰਕਫਲੋ ਦੀ ਵਰਤੋਂ ਇੱਕ ਭਰੋਸੇਯੋਗ ਵਾਤਾਵਰਣ ਵਿੱਚ ਜਾਣੀ ਜਾਂਦੀ ਨਿਰਭਰਤਾ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ; ਇਹ ਇੱਕ ਖਤਰਨਾਕ ਕੋਡ ਸਕੈਨਰ ਨਹੀਂ ਹੈ ਅਤੇ ਸਾਰੇ ਦੁਭਾਸ਼ੀਏ, ਸਿਸਟਮ ਲਾਇਬ੍ਰੇਰੀ ਅਤੇ ਟਰੱਸਟ ਸਟੋਰ ਜੋਖਮਾਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦਾ ਹੈ। S44

I ਸਿਸਟਮ /usr/bin/python3 ਨੂੰ ਇੱਕ ਨਵੇਂ ਸੰਕਲਿਤ ਸੰਸਕਰਣ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਸਿਸਟਮ Python ‘ਤੇ ਨਿਰਭਰ ਕਰਨ ਵਾਲੇ ਪ੍ਰਬੰਧਨ ਸਾਧਨਾਂ ਨੂੰ ਤੋੜਨ ਤੋਂ ਬਚਣ ਲਈ ਰਿਲੀਜ਼ ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ ਜਾਂ ਪ੍ਰੋਜੈਕਟ ਆਈਸੋਲੇਸ਼ਨ ਰਨਟਾਈਮ ਦੀ ਵਰਤੋਂ ਕਰੋ। ਇਹ ਇੱਕ ਲਾਗੂਕਰਨ ਵਿਕਲਪ ਹੈ ਅਤੇ ਇਸ ਕਮਜ਼ੋਰੀ ਲਈ ਕੋਈ ਵਾਧੂ ਫਿਕਸ ਲੋੜ ਨਹੀਂ ਹੈ।

6.5 ਚੱਲ ਰਹੇ ਉਦਾਹਰਨ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ ਅਤੇ ਬਦਲੋ

ਇਹ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਇੱਕ ਸੰਪੂਰਨ ਤਬਦੀਲੀ ਦੇ ਤੌਰ ‘ਤੇ ਹੇਠਾਂ ਦਿੱਤੇ ਕਦਮ ਚੁੱਕੇ ਜਾਣ:

ਅਸਲ ਭਰੋਸੇਯੋਗ ਸਰੋਤ ਤੋਂ ਪੈਚ ਪ੍ਰਾਪਤ ਕਰੋ ਅਤੇ ਸੰਸਕਰਣ/ਹੈਸ਼ ਅਤੇ ਨਿਰਭਰਤਾ ਲੌਕ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰੋ।
ਨਜ਼ਦੀਕੀ-ਉਤਪਾਦਨ ਵਾਤਾਵਰਨ ਵਿੱਚ ਮੁੱਖ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਵਾਪਸ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਮੂਲ ਐਕਸਟੈਂਸ਼ਨ JVM/ਫ੍ਰੇਮਵਰਕ ਦੇ ਅਨੁਕੂਲ ਹਨ।
ਰਨਟਾਈਮ, ਐਪਲੀਕੇਸ਼ਨ ਨਿਰਭਰਤਾ ਅਤੇ ਅਸਲ ਟਰੱਸਟ ਸਟੋਰ ਨੂੰ ਅਪਡੇਟ ਕਰੋ; ਕੰਟੇਨਰ ਲਈ ਅਧਾਰ ਚਿੱਤਰ ਅਤੇ ਸਿਸਟਮ CA ਨੂੰ ਤਾਜ਼ਾ ਕਰੋ, ਸਿਰਫ਼ ਪੁਰਾਣੀ ਪਰਤ ਦੀ ਮੁੜ ਵਰਤੋਂ ਨਾ ਕਰੋ।
ਐਪਲੀਕੇਸ਼ਨਾਂ ਅਤੇ ਚਿੱਤਰਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ, ਅਤੇ ਰੋਲਿੰਗ ਆਧਾਰ ‘ਤੇ ਸੇਵਾ, ਕਰਮਚਾਰੀ, ਕਤਾਰ ਖਪਤਕਾਰ, ਅਤੇ ਅਨੁਸੂਚਿਤ ਕਾਰਜ ਉਦਾਹਰਨਾਂ ਨੂੰ ਬਦਲੋ।
ਨਵੀਂ ਚੱਲ ਰਹੀ ਸਥਿਤੀ ਵਿੱਚ ਸੰਸਕਰਣ ਅਤੇ ਸੰਰਚਨਾ ਦੀ ਮੁੜ ਜਾਂਚ ਕਰੋ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਸਾਰੀਆਂ ਪੁਰਾਣੀਆਂ ਕਾਪੀਆਂ ਬੰਦ ਹੋ ਗਈਆਂ ਹਨ।
ਗਲਤੀ ਦਰਾਂ, ਲੇਟੈਂਸੀ, CPU/ਮੈਮੋਰੀ, TLS ਹੈਂਡਸ਼ੇਕ ਅਸਫਲਤਾਵਾਂ, ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਕਰੈਸ਼ਾਂ ਨੂੰ ਵੇਖੋ।

ਰੋਲਬੈਕ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰਨਟਾਈਮ ਅਤੇ ਪੈਚ ਨਿਰਭਰਤਾ ਨੂੰ ਬਰਕਰਾਰ ਰੱਖਣ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਕੌਂਫਿਗਰੇਸ਼ਨ ਜਾਂ ਕਾਰੋਬਾਰੀ ਤਬਦੀਲੀਆਂ ਨੂੰ ਰੋਲਬੈਕ ਕਰਨ ਨੂੰ ਤਰਜੀਹ ਦੇਣੀ ਚਾਹੀਦੀ ਹੈ। ਜੇਕਰ ਤੁਹਾਨੂੰ ਕਮਜ਼ੋਰੀਆਂ ਵਾਲੇ ਕਿਸੇ ਪੁਰਾਣੇ ਉਤਪਾਦ ‘ਤੇ ਵਾਪਸ ਜਾਣਾ ਹੈ, ਤਾਂ ਸੰਬੰਧਿਤ ਇੰਦਰਾਜ਼ ਪਾਬੰਦੀਆਂ ਨੂੰ ਨਾਲੋ ਨਾਲ ਬਹਾਲ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਜ਼ਿੰਮੇਵਾਰ ਵਿਅਕਤੀ ਅਤੇ ਘੱਟੋ-ਘੱਟ ਰਿਕਵਰੀ ਅਵਧੀ ਨੂੰ ਸਪਸ਼ਟ ਤੌਰ ‘ਤੇ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

7. ਅਸਥਾਈ ਮਿਟੀਗੇਸ਼ਨ ਅਤੇ ਪੈਚ ਚੋਣ

7.1 ਅਸਥਾਈ ਉਪਾਵਾਂ ਦੀ ਕਵਰੇਜ ਸੀਮਾ

ਘੋਸ਼ਿਤ ਵਰਤੋਂ ਦੀਆਂ ਸ਼ਰਤਾਂ ਦੇ ਆਧਾਰ ‘ਤੇ ਹੇਠਾਂ ਦਿੱਤੇ ਲਾਗੂ ਸੁਝਾਅ ਹਨ। ਜਦੋਂ ਤੱਕ ਅਧਿਕਾਰਤ ਯੋਜਨਾ ਨੋਟ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ, ਵਿਕਰੇਤਾ ਇਸ ਗੱਲ ਦੀ ਗਾਰੰਟੀ ਨਹੀਂ ਦਿੰਦਾ ਹੈ ਕਿ ਸਾਰੇ ਵੇਰੀਐਂਟ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਲੌਕ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਖਤਰਾ	ਅਸਥਾਈ ਉਪਾਅ ਜੋ ਲਏ ਜਾ ਸਕਦੇ ਹਨ	ਜਿਸ ਹਿੱਸੇ ਨੂੰ ਇਸ ਦੇ ਆਧਾਰ ‘ਤੇ ਪੂਰਾ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ
Brotli ਡੀਕੋਡਿੰਗ	ਅਵਿਸ਼ਵਾਸੀ ਇਨਪੁਟ ਡੀਕੋਡਿੰਗ ਨੂੰ ਰੋਕੋ; ਇਨਬਾਉਂਡ ਅਤੇ ਆਊਟਬਾਉਂਡ ਆਟੋਮੈਟਿਕ ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਦੀ ਜਾਂਚ ਕਰੋ	ਅੰਦਰ ਵੱਲ WAF ਜਾਂ ਜਵਾਬ ਸੰਕੁਚਨ ਨੂੰ ਬੰਦ ਕਰਨਾ ਸਾਰੀਆਂ ਡੀਕੋਡਿੰਗ ਐਂਟਰੀਆਂ ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦਾ ਹੈ S3
Next.js typed arrays RCE	ਤੁਰੰਤ ਅੱਪਗ੍ਰੇਡ ਕਰੋ; ਜੇਕਰ ਲੋੜ ਹੋਵੇ ਤਾਂ ਪ੍ਰਭਾਵਿਤ ਸੇਵਾਵਾਂ ਨੂੰ ਅਸਥਾਈ ਤੌਰ ‘ਤੇ ਅਲੱਗ ਕਰੋ	S9 ਦਾ ਕੋਈ ਅਧਿਕਾਰਤ ਭਰੋਸੇਯੋਗ ਯੂਨੀਵਰਸਲ ਹੱਲ ਨਹੀਂ ਹੈ
Next.js SVG RCE	ਅਧਿਕਾਰਤ ਯੋਜਨਾ: ਅਸਲ ਤਿੱਖੀ ≥0.35.5 ਨੂੰ ਯਕੀਨੀ ਬਣਾਓ; ਜਦੋਂ ਵਪਾਰਕ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਤਾਂ ਸੰਬੰਧਿਤ ਅਨੁਕੂਲਨ ਐਂਟਰੀ ਪੁਆਇੰਟਾਂ ਨੂੰ ਮੁਅੱਤਲ ਕਰੋ	ਹੋਰ Next/RSC ਮੁੱਦੇ S11 ਨੂੰ ਕਵਰ ਨਹੀਂ ਕਰਦਾ
Tomcat ਖੇਤਰ / HTTP/2 / AJP	ਅਨੁਸਾਰੀ ਮਾਰਗ ਨੂੰ ਅਲੱਗ ਕਰੋ ਅਤੇ ਬੇਲੋੜੇ ਕਨੈਕਟਰਾਂ ਨੂੰ ਬੰਦ ਕਰੋ	ਅਜੇ ਵੀ ਸੰਬੰਧਿਤ ਸ਼ਾਖਾ ਮੁਰੰਮਤ ਪੈਕੇਜ S21 S22 S23 ਦੀ ਲੋੜ ਹੈ
GraphQL ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ	ਪ੍ਰਭਾਵਿਤ ਕਨੈਕਸ਼ਨ ਖੇਤਰਾਂ ਨੂੰ ਮੁਅੱਤਲ ਕਰੋ; ਗੈਰ-ਭਰੋਸੇਯੋਗ ਕਾਲਰਾਂ ‘ਤੇ ਪਾਬੰਦੀ ਲਗਾਓ	ਸਿਰਫ਼ ਬੇਨਤੀ ਦੀ ਲੰਬਾਈ ਸੀਮਾ ਕਿਸਮ/ਡੀਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਨਹੀਂ ਕਰ ਸਕਦੀ ਹੈ S25
Spring embedded LDAP	ਲੋੜ ਨਾ ਹੋਣ ‘ਤੇ ਅਯੋਗ ਕਰੋ; ਅਸਲ ਸੁਣਨ ਵਾਲੇ ਪੋਰਟ ਦੀ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰੋ	ਪੂਰਵ-ਨਿਰਧਾਰਤ ਪ੍ਰਬੰਧਕੀ ਪਛਾਣ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਇਕਸਾਰਤਾ ਨੂੰ ਅਜੇ ਵੀ S27 ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਲੋੜ ਹੈ
CPython SNI UAF	ਅਧਿਕਾਰਤ ਯੋਜਨਾ: ਸੇਵਾ ਦੇ ਅੰਤ ਤੱਕ ਸੰਬੰਧਿਤ SSLContext ਮਜ਼ਬੂਤ ਹਵਾਲਾ ਰੱਖੋ	ਸਾਰੇ ਬਣਾਓ/ਸਵਿੱਚ ਪਾਥ S29 ਨੂੰ ਕਵਰ ਕੀਤੇ ਜਾਣੇ ਚਾਹੀਦੇ ਹਨ
Python ਹੋਸਟਨਾਮ ਛੱਡੋ	ਅਧਿਕਾਰਤ ਹੱਲ: ਉਮੀਦ ਕੀਤੀ ਸਰਵਰ_ਹੋਸਟਨਾਮ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਪਾਸ ਕਰੋ	ਸਿਰਫ਼ check_hostname ਫਲੈਗ ਦੀ ਜਾਂਚ ਨਹੀਂ ਕਰ ਸਕਦਾ ਜਾਂ S30 S31 ਚੇਤਾਵਨੀ ਨੂੰ ਅਣਡਿੱਠ ਨਹੀਂ ਕਰ ਸਕਦਾ।
ਅਵਿਸ਼ਵਾਸ਼ਯੋਗ ਟਾਰ	ਅਯੋਗ/ਕੁਆਰੰਟੀਨ ਐਕਸਟਰੈਕਸ਼ਨ, ਗੈਰ-ਜ਼ਰੂਰੀ ਲਿੰਕਾਂ ਅਤੇ ਡਿਵਾਈਸ ਐਂਟਰੀਆਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰੋ	ਨਾ ਤਾਂ ਫਿਲਟਰ ਅਤੇ ਨਾ ਹੀ ਸਰੋਤ ਕੋਟਾ ਯੂਨੀਵਰਸਲ ਸੈਂਡਬਾਕਸ ਹਨ S32 S40 S45
ਸਰਟੀਫਿਕੇਟ ਟਰੱਸਟ ਇਵੈਂਟ	ਸਹੀ CA ਸਮੱਗਰੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ; Java ਟਰੱਸਟ ਨੂੰ ਅਧਿਕਾਰਤ ਕਮੀ ਦੇ ਅਨੁਸਾਰ ਪ੍ਰਤਿਬੰਧਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ	TLS ਤਸਦੀਕ ਨੂੰ ਅਯੋਗ ਕਰਨ ਨਾਲ S19 S37 ਜੋਖਮ ਵਧਦਾ ਹੈ

7.2 ਡਿਲੀਵਰੀ ਵਿਧੀ ਦੇ ਆਧਾਰ ‘ਤੇ ਪੈਚ ਚੁਣੋ

ਡਿਲੀਵਰੀ ਵਿਧੀ	ਮੁਰੰਮਤ ਦੇ ਤਰੀਕਿਆਂ ਨੂੰ ਤਰਜੀਹ ਦਿਓ	ਸਬੂਤ ਜੋ ਬਰਕਰਾਰ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ
ਵੰਡ-ਪ੍ਰਬੰਧਿਤ ਰਨਟਾਈਮ	ਨਿਰਮਾਤਾ ਦੇ ਅਨੁਸਾਰੀ ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ	ਪੂਰਾ ਪੈਕੇਜ ਸੰਸਕਰਣ, ਘੋਸ਼ਣਾ, ਰਿਪੋਜ਼ਟਰੀ ਸਰੋਤ
ਅਧਿਕਾਰਤ ਬਾਈਨਰੀ/ਰਨਟਾਈਮ ਮੈਨੇਜਰ	ਉਸੇ ਸ਼ਾਖਾ ਤੋਂ ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼	ਸੰਸਕਰਣ, ਸਰੋਤ ਅਤੇ ਡਾਇਜੈਸਟ, ਅਸਲ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਮਾਰਗ
ਸਵੈ-ਕੰਪਾਈਲ Node / CPython	ਮੇਲ ਖਾਂਦੀ ਸ਼ਾਖਾ ਦਾ ਅਧਿਕਾਰਤ ਸਰੋਤ ਰਿਲੀਜ਼ ਜਾਂ ਵਿਕਰੇਤਾ ਦਾ ਪੂਰਾ ਪੈਚ ਸੈੱਟ	ਕਮਿਟ ਸੈਟ, ਬਿਲਡ ਪੈਰਾਮੀਟਰ, ਨਿਰਭਰ ਲਾਇਬ੍ਰੇਰੀਆਂ ਅਤੇ ਰਿਗਰੈਸ਼ਨ ਨਤੀਜੇ
Spring / Next / Django	ਇਨ-ਬ੍ਰਾਂਚ ਅੱਪਡੇਟ, ਨਿਰਭਰਤਾ ਲਾਕ ਮੁੜ ਬਣਾਉਣ ਅਤੇ ਅੰਤਮ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨਾਲ ਅਨੁਕੂਲ	ਅੰਤਮ ਨਿਰਭਰਤਾ ਰੁੱਖ, JAR/ਪੈਕੇਜ/ਚਿੱਤਰ ਵਿੱਚ ਅਸਲ ਸੰਸਕਰਣ
ਕਸਟਮ ਟਰੱਸਟ ਸਟੋਰ	ਅਧਿਕਾਰਤ ਕਢਵਾਉਣ ਦੀ ਯੋਜਨਾ ਜਾਂ ਵਿਕਰੇਤਾ ਅਪਡੇਟ ਕਢਵਾਉਣ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ	ਅਸਲ ਵਰਤੋਂ ਮਾਰਗ, ਸਮੱਗਰੀ ਤਬਦੀਲੀ, TLS ਸਫਲਤਾ ਅਤੇ ਅਸਵੀਕਾਰ ਟੈਸਟ
ਇੱਕ ਸਮਝੌਤਾ ਵਾਤਾਵਰਣ	ਸਾਫ਼ ਅਤੇ ਭਰੋਸੇਮੰਦ ਉਤਪਾਦਾਂ ਤੋਂ ਦੁਬਾਰਾ ਬਣਾਓ ਅਤੇ ਵੱਖਰੀ ਘਟਨਾ ਦੀ ਜਾਂਚ ਕਰੋ	ਇਤਿਹਾਸਕ ਪੈਕੇਜ/ਚਿੱਤਰ ਡਾਇਜੈਸਟ, ਇੰਸਟਾਲੇਸ਼ਨ ਰਿਕਾਰਡ, ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਰੋਟੇਸ਼ਨ ਰਿਕਾਰਡ

7.3 ਕੁੰਜੀ ਪੈਚ ਵਿਧੀ ਅਤੇ ਸਮੀਖਿਆ ਫੋਕਸ

Brotli: ਇਸ ਗੱਲ ਵੱਲ ਧਿਆਨ ਦਿੰਦਾ ਹੈ ਕਿ ਕੀ ਬਿਲਡ ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਨੇਟਿਵ ਡੀਕੋਡਿੰਗ ਸਥਿਤੀ ਦੀ ਸੀਮਾ ਜਾਂਚ ਅਤੇ ਗਲਤੀ ਵਾਪਸੀ ਪੂਰੀ ਹੋ ਗਈ ਹੈ; ਸਿਰਫ਼ JavaScript ਪੈਕੇਜ ਨੂੰ ਬਦਲਣ ਨਾਲ Node ਵਿੱਚ ਸਥਿਰ ਤੌਰ ‘ਤੇ ਕੰਪਾਇਲ ਕੀਤੇ ਕੋਡ ਨੂੰ ਨਹੀਂ ਬਦਲਿਆ ਜਾ ਸਕਦਾ ਹੈ। S4
Node DNS / TLS : ਇਨਪੁਟ ਅਸਵੀਕਾਰਨ, ਐਡਰੈੱਸ ਸਧਾਰਣਕਰਨ, ਵਿਚਕਾਰ ਅੰਤਰ ‘ਤੇ ਕੇਂਦ੍ਰਤ ਕਰਦਾ ਹੈ IP SAN ਅਤੇ DNS ਪਛਾਣ, ਅਤੇ DNS ਕਾਲਬੈਕ/ਵਾਅਦਾ ਪਾਰਸਿੰਗ ਮਾਰਗ ਅਤੇ TLS ਮੇਜ਼ਬਾਨ ਨਾਮ ਮੈਚ ਟੈਸਟ। S5 S6
Tomcat JNDIRealm: ਸਿਰਫ਼ ਇੱਕ ਡਾਇਰੈਕਟਰੀ ਸੰਦਰਭ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਬਜਾਏ, ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਕਿਰਿਆ ਅਸਲ ਵਿੱਚ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ; ਅਧਿਕਾਰਤ ਸੰਸਕਰਣ ਨੂੰ ਤਰਜੀਹ ਦੇਣਾ ਅਤੇ ਇੱਕ ਸਿੰਗਲ ਸਰੋਤ ਫਾਈਲ ਰਿਪਲੇਸਮੈਂਟ ਨੂੰ ਇੱਕ ਪੂਰਨ ਬਾਈਨਰੀ ਪੈਚ ਦੇ ਰੂਪ ਵਿੱਚ ਨਹੀਂ ਮੰਨਣਾ। S24
CPython ssl: Python ਸੰਦਰਭ ਮਾਲਕੀ ਅਤੇ ਅੰਡਰਲਾਈੰਗ SSLContext ਦੇ ਜੀਵਨ ਚੱਕਰ ‘ਤੇ ਕੇਂਦ੍ਰਤ ਕਰਦਾ ਹੈ; wrap_bio() ਬ੍ਰਾਂਚ ਅਨੁਕੂਲਤਾ ਅੰਤਰ ਹੋਣ ਦੇ ਦੌਰਾਨ ਬੈਕਪੋਰਟ ਕਰਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਨੂੰ ਵਰਤੀ ਗਈ ਸ਼ਾਖਾ ਦੇ ਅਸਲ ਲਾਗੂਕਰਨ ਨੂੰ ਪੜ੍ਹਨਾ ਚਾਹੀਦਾ ਹੈ। S31 S47
Certificate distrust: ਅਜਿਹੇ ਅੱਪਡੇਟ ਭਰੋਸੇਯੋਗ ਸਮੱਗਰੀ ਦੇ ਰੂਪ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋ ਸਕਦੇ ਹਨ ਜਾਂ ਸਪੱਸ਼ਟ API ਤਬਦੀਲੀਆਂ ਦੀ ਬਜਾਏ ਸੂਚੀ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ। Node ਦੇ ਉਸੇ ਬੈਚ ਵਿੱਚ ਪ੍ਰਭਾਵਿਤ ਇੰਟਰਮੀਡੀਏਟ CA ਦੀ ਅਸਵੀਕਾਰ ਵਿਧੀ ਵੀ ਸ਼ਾਮਲ ਹੈ; Java ਅਤੇ Python ਦੇ ਸਬੰਧਿਤ ਭਰੋਸੇਯੋਗ ਸਰੋਤਾਂ ਨੂੰ ਅਜੇ ਵੀ ਵੱਖਰੇ ਤੌਰ ‘ਤੇ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। S19 S37 S46

ਸੁਤੰਤਰ Brotli ਬਾਈਡਿੰਗ ਦੀ ਵੀ ਜਾਂਚ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ। Google ਅੱਪਸਟ੍ਰੀਮ ਜਾਰੀ ਕੀਤਾ ਗਿਆ 1.0.10 / 1.1.1 / 1.2.1 ਠੀਕ ਕਰਨ ਲਈ ਉਸੇ ਦਿਨ CVE-2026-111497 . Python ਨੇਟਿਵ ਐਕਸਟੈਂਸ਼ਨਾਂ ਜਾਂ JNI ਕਲਾਕ੍ਰਿਤੀਆਂ ਜੋ ਕਿ ਉਸੇ ਪ੍ਰਭਾਵਿਤ C ਲਾਗੂਕਰਨ ਨੂੰ ਏਮਬੇਡ ਕਰਦੀਆਂ ਹਨ, ਸੁਤੰਤਰ ਤੌਰ ‘ਤੇ ਅੱਪਡੇਟ/ਮੁੜ-ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ; ਇਹ ਅੰਦਾਜ਼ਾ ਨਹੀਂ ਲਗਾਇਆ ਜਾ ਸਕਦਾ ਕਿ ਸਭ ਸ਼ੁੱਧ ਹੈ Java ਡੀਕੋਡਰ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਨਾ ਹੀ ਇਹ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਅੱਪਗਰੇਡ ਕਰਨਾ Node ਆਪਣੇ ਆਪ ਦੂਜੀਆਂ ਭਾਸ਼ਾਵਾਂ ਵਿੱਚ ਕਾਪੀਆਂ ਨੂੰ ਬਦਲ ਦਿੰਦਾ ਹੈ। S42

8. ਪੁਸ਼ਟੀਕਰਨ ਅਤੇ ਫਾਲੋ-ਅੱਪ ਜਾਂਚਾਂ

8.1 ਨਿਊਨਤਮ ਪੁਸ਼ਟੀਕਰਨ ਚੈੱਕਲਿਸਟ

ਆਈਟਮਾਂ ਦੀ ਜਾਂਚ ਕਰੋ	ਸਬੂਤ ਦੀ ਲੋੜ ਹੈ
ਰਨਟਾਈਮ	ਅਸਲ ਪ੍ਰਕਿਰਿਆ/ਕੰਟੇਨਰ ਵਿੱਚ ਪੂਰਾ ਸੰਸਕਰਣ ਜਾਂ ਵਿਕਰੇਤਾ ਬੈਕਪੋਰਟ ਸਬੂਤ ਸਹੀ ਹੈ
ਐਪਲੀਕੇਸ਼ਨ ਨਿਰਭਰਤਾ	Next/RSC/sharp, Tomcat/Spring, ਅਤੇ Django/certifi ਅੰਤਮ ਤੈਨਾਤੀ ਉਤਪਾਦ ਅਨੁਸਾਰੀ ਥ੍ਰੈਸ਼ਹੋਲਡ ‘ਤੇ ਪਹੁੰਚ ਗਏ ਹਨ
ਬਦਲਣ ਦੀ ਰੇਂਜ	ਸਾਰੇ ਵਰਕਰ/JVM/ਕੰਟੇਨਰ ਕਾਪੀਆਂ ਅਤੇ ਬੈਕਗ੍ਰਾਉਂਡ ਕਾਰਜਾਂ ਨੂੰ ਨਵੇਂ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਅਤੇ ਪੁਰਾਣੀਆਂ ਉਦਾਹਰਣਾਂ ਬੰਦ ਹੋ ਗਈਆਂ ਹਨ।
TLS	ਵੈਧ ਡੋਮੇਨ ਸਰਟੀਫਿਕੇਟ ਸਫਲ ਹੁੰਦੇ ਹਨ; ਬੇਮੇਲ ਹੋਸਟਨਾਮ ਅਤੇ ਅਵੈਧ ਚੇਨ ਪਾਲਿਸੀ ਦੇ ਅਨੁਸਾਰ ਫੇਲ ਹੋ ਜਾਂਦੇ ਹਨ; ਕਸਟਮ ਟਰੱਸਟ ਸਟੋਰ ਸ਼ਾਮਲ ਹਨ
eMudhra ਅਵਿਸ਼ਵਾਸ	ਪ੍ਰਭਾਵਿਤ ਇੰਟਰਮੀਡੀਏਟ CA ਦੁਆਰਾ ਬਣਾਈ ਗਈ ਸਰਟੀਫਿਕੇਟ ਚੇਨ ਨੂੰ ਅਸਲ ਰਨਟਾਈਮ ਦੇ ਦੌਰਾਨ ਰੱਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਜਾਂ ਇਸ ਗੱਲ ਦਾ ਸਬੂਤ ਹੈ ਕਿ ਖਾਸ ਵਿਕਰੇਤਾ ਦੀ ਸੁਰੱਖਿਆ ਬਿਲਡ/ਅਨੁਸਾਰੀ ਅਸਵੀਕਾਰ ਸੂਚੀ ਨੂੰ ਤੈਨਾਤ ਕੀਤਾ ਗਿਆ ਹੈ; ਕੇਸ ਨੂੰ ਆਮ TLS ਟੈਸਟ ਜਾਂ Java 8 ਛੋਟੇ ਸੰਸਕਰਣ ਨੰਬਰ ਦੇ ਆਧਾਰ ‘ਤੇ ਬੰਦ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
Node ਡੀਕੋਡਿੰਗ ਅਤੇ ਚਿੱਤਰ	ਸਧਾਰਣ ਸੰਕੁਚਿਤ ਜਵਾਬ, ਅਪਲੋਡ, ਚਿੱਤਰ ਅਨੁਕੂਲਨ ਅਤੇ RSC ਫੰਕਸ਼ਨ ਉਪਲਬਧ ਹਨ; ਅਵਿਸ਼ਵਾਸੀ ਸਰੋਤ ਨੀਤੀ ਪ੍ਰਭਾਵੀ ਹੈ
Java ਪ੍ਰਮਾਣੀਕਰਨ ਅਤੇ ਅਲੱਗ-ਥਲੱਗ	ਗਲਤ ਪਾਸਵਰਡ ਅਸਵੀਕਾਰ ਕੀਤਾ ਗਿਆ; ਪਛਾਣ/ਜਵਾਬ ਮਿਕਸਿੰਗ ਤੋਂ ਬਿਨਾਂ ਸੁਤੰਤਰ ਉਪਭੋਗਤਾ ਸਮਕਾਲੀ ਅਸਿੰਕਰੋਨਸ ਬੇਨਤੀਆਂ; ਉਮੀਦ ਮੁਤਾਬਕ LDAP ਸੁਣ ਰਿਹਾ ਹੈ
Python SNI / ਪੁਰਾਲੇਖ	ਸਧਾਰਣ ਮਲਟੀ-ਡੋਮੇਨ ਨਾਮ TLS ਕਾਰੋਬਾਰ ਸਥਿਰ ਹੈ; ਆਰਕਾਈਵਿੰਗ ਪਾਥ ਟ੍ਰਾਵਰਸਲ ਅਤੇ ਨਾਮਨਜ਼ੂਰ ਲਿੰਕਾਂ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਤੋਂ ਬਾਹਰ ਦੀਆਂ ਫਾਈਲਾਂ ਨੂੰ ਸੋਧਿਆ ਨਹੀਂ ਜਾਂਦਾ ਹੈ
ਡਾਟਾ ਅਤੇ ਫੰਕਸ਼ਨਲ ਰਿਗਰੈਸ਼ਨ	ਪੇਜਿੰਗ, ਸਥਾਨਿਕ ਪੁੱਛਗਿੱਛ, ਅਨੁਮਤੀ ਜਾਂਚ ਅਤੇ ਪਿਛੋਕੜ ਕਾਰਜਾਂ ਨੇ ਪ੍ਰੋਜੈਕਟ ਦੇ ਮੌਜੂਦਾ ਟੈਸਟਾਂ ਨੂੰ ਪਾਸ ਕੀਤਾ
ਸਰੋਤ ਅਤੇ ਨਿਰੀਖਣ	CPU, ਮੈਮੋਰੀ, ਤਰੁੱਟੀ ਦਰ, ਲੇਟੈਂਸੀ ਅਤੇ TLS ਤਰੁੱਟੀਆਂ ਵਿੱਚ ਕੋਈ ਅਸਧਾਰਨ ਵਾਧਾ ਨਹੀਂ ਹੋਇਆ ਹੈ।
ਟਰੇਸਬਿਲਟੀ	ਅੱਪਗਰੇਡ ਸਮਾਂ, ਪੈਕੇਜ/ਚਿੱਤਰ ਡਾਇਜੈਸਟ, ਸੰਰਚਨਾ ਤਬਦੀਲੀਆਂ, ਤਸਦੀਕ ਨਤੀਜੇ ਅਤੇ ਅਣਸੁਲਝੀਆਂ ਆਈਟਮਾਂ ਬਚਾਓ

ਇਹ ਲਾਗੂਕਰਨ ਸਵੀਕ੍ਰਿਤੀ ਦੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਹਨ ਅਤੇ ਹਰੇਕ CVE ਲਈ ਇੱਕ ਅਟੈਕ ਸਕ੍ਰਿਪਟ ਤਿਆਰ ਕਰਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਕ੍ਰੈਸ਼ਾਂ, ਸਰੋਤ ਥਕਾਵਟ, ਅਤੇ ਪੁਰਾਲੇਖ ਤੋਂ ਬਾਹਰ ਹੋਣ ਵਾਲੇ ਤਸਦੀਕ ਨੂੰ ਇੱਕ ਅਲੱਗ ਵਾਤਾਵਰਣ ਵਿੱਚ ਅੱਪਸਟ੍ਰੀਮ ਰਿਗਰੈਸ਼ਨ ਟੈਸਟਿੰਗ ਜਾਂ ਪ੍ਰੋਜੈਕਟ ਨਿਯੰਤਰਿਤ ਟੈਸਟ ਡੇਟਾ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

8.2 ਪੈਚਿੰਗ ਅਤੇ ਘੁਸਪੈਠ ਦੀ ਜਾਂਚ ਵੱਖ-ਵੱਖ ਕੰਮ ਹਨ

ਅਸਾਧਾਰਨ ਡੀਕੋਡਿੰਗ ਗਲਤੀਆਂ, ਵਰਕਰ/JVM ਕ੍ਰੈਸ਼, ਸ਼ੱਕੀ ਫਾਈਲ ਰਾਈਟਸ, ਡਾਇਰੈਕਟਰੀ ਡਾਟਾ ਬਦਲਾਅ, ਪ੍ਰਮਾਣੀਕਰਨ ਅਪਵਾਦ, ਆਊਟਬਾਉਂਡ ਬੇਨਤੀਆਂ, ਅਤੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਵਰਤੋਂ ਰਿਕਾਰਡਾਂ ਲਈ ਮੌਜੂਦਾ ਲੌਗਸ ਦੀ ਜਾਂਚ ਕਰੋ। ਇਹਨਾਂ ਚਿੰਨ੍ਹਾਂ ਦਾ ਸੰਦਰਭ ਵਿੱਚ ਨਿਰਣਾ ਕਰਨ ਦੀ ਲੋੜ ਹੈ: ਇੱਕ ਕਰੈਸ਼ ਜਾਂ OOM ਸਫਲ ਸ਼ੋਸ਼ਣ ਦਾ ਸਬੂਤ ਨਹੀਂ ਹੈ; ਚੇਤਾਵਨੀਆਂ ਦੀ ਅਣਹੋਂਦ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੀ ਕਿ ਸਿਸਟਮ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਸੀ।

ਜਦੋਂ ਅਣਅਧਿਕਾਰਤ ਸੋਧਾਂ, ਸਮਝੌਤਾ ਕੀਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ, ਜਾਂ ਪੁਸ਼ਟੀ ਕੀਤੀ ਖਤਰਨਾਕ ਨਿਰਭਰਤਾਵਾਂ ਦੀ ਖੋਜ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਸਬੂਤ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਜਾਣੇ ਚਾਹੀਦੇ ਹਨ, ਸੰਬੰਧਿਤ ਉਦਾਹਰਨਾਂ ਨੂੰ ਅਲੱਗ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਪ੍ਰਭਾਵਿਤ ਪ੍ਰਮਾਣ-ਪੱਤਰਾਂ ਨੂੰ ਭਰੋਸੇਯੋਗ ਵਾਤਾਵਰਣ ਤੋਂ ਘੁੰਮਾਇਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਸਿਸਟਮ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ। ਪੈਚ ਉਹਨਾਂ ਟੋਕਨਾਂ ਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰੇਗਾ ਜੋ ਹਮਲਾਵਰ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੇ ਗਏ ਹਨ ਜਾਂ ਸੰਸ਼ੋਧਿਤ ਕੀਤੇ ਗਏ ਡੇਟਾ ਨੂੰ ਰੀਸਟੋਰ ਨਹੀਂ ਕਰਨਗੇ।

9. ਸਪਲਾਈ ਚੇਨ ਸੁਰੱਖਿਆ ਘਟਨਾ: LiteLLM 1.107.0 ਸਮਝੌਤਾ

**ਅਧਿਕਾਰਤ ਪੁਸ਼ਟੀਕਰਨ ਮਿਤੀ: 2026-10-21.**LiteLLM ਨੇ ਰਿਪੋਰਟ ਕੀਤੀ ਕਿ ਇਸਦੀ ਰਿਲੀਜ਼ ਪਾਈਪਲਾਈਨ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ। PyPI ਦੇ litellm==1.107.0 ਅਤੇ ਉਸੇ ਸਮੇਂ ਦੇ ਕੁਝ ਡੌਕਰ/GHCR ਉਤਪਾਦਾਂ ਵਿੱਚ ਗੁਪਤ ਚੋਰੀ ਅਤੇ ਰਿਮੋਟ ਕੰਟਰੋਲ ਖਤਰਨਾਕ ਕੋਡ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਸੰਬੰਧਿਤ ਉਤਪਾਦਾਂ ਨੂੰ ਵਾਪਸ ਲੈ ਲਿਆ ਗਿਆ ਹੈ। S41

ਪ੍ਰਭਾਵ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਇਤਿਹਾਸਕ ਸਥਾਪਨਾ ਰਿਕਾਰਡਾਂ ਅਤੇ ਚਿੱਤਰ ਡਾਇਜੈਸਟ ਦੀ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ; latest, main-latest, ਅਤੇ main-stable ਵਰਗੇ ਲੇਬਲ ਹੁਣ ਸਾਫ਼ ਚਿੱਤਰਾਂ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦੇ ਹਨ, ਜੋ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦੇ ਕਿ ਘਟਨਾ ਦੇ ਸਮੇਂ ਖਿੱਚੇ ਗਏ ਉਤਪਾਦ ਸਾਫ਼ ਸਨ। ਉਸ ਸਮੇਂ ਅਧਿਕਾਰਤ ਸਿਫ਼ਾਰਸ਼ ਅਸਥਾਈ ਤੌਰ ‘ਤੇ 1.106.2 ਨੂੰ ਪਿੰਨ ਕਰਨ ਦੀ ਸੀ; ਇਹ ਸਿਫ਼ਾਰਿਸ਼ ਇਸ ਘਟਨਾ ‘ਤੇ ਆਧਾਰਿਤ ਸੀ, ਅਤੇ ਹੋਰ ਸੁਰੱਖਿਆ ਘੋਸ਼ਣਾਵਾਂ ਨੂੰ ਅਜੇ ਵੀ ਤੈਨਾਤੀ ਦੌਰਾਨ ਜਾਂਚਣ ਦੀ ਲੋੜ ਹੈ। S41

ਉਹਨਾਂ ਵਾਤਾਵਰਣਾਂ ਲਈ ਜਿੱਥੇ ਸੰਬੰਧਿਤ ਉਤਪਾਦ ਸਥਾਪਿਤ ਕੀਤੇ ਗਏ ਹਨ ਜਾਂ ਚੱਲੇ ਹਨ:

ਇੰਸਟੌਲੇਸ਼ਨ ਰਿਕਾਰਡਾਂ, ਚਿੱਤਰਾਂ ਅਤੇ ਲੌਗਸ ਨੂੰ ਅਲੱਗ ਕਰੋ ਅਤੇ ਸੁਰੱਖਿਅਤ ਕਰੋ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਸਾਫ਼ ਵਾਤਾਵਰਨ ਤੋਂ ਨਿਰੀਖਣ ਕਰੋ।
ਪਹਿਲਾਂ ਇੱਕ ਸ਼ੱਕੀ ਮਾਹੌਲ ਵਿੱਚ Python/pip ਸ਼ੁਰੂ ਨਾ ਕਰੋ; ਖਤਰਨਾਕ .pth / sitecustomize.py ਨੂੰ ਸਟਾਰਟਅੱਪ ਤੋਂ ਬਾਅਦ ਦੁਬਾਰਾ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ।
ਭਰੋਸੇਮੰਦ ਸਰੋਤਾਂ ਤੋਂ ਮੇਜ਼ਬਾਨਾਂ, venvs/ਕੰਟੇਨਰਾਂ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਓ; ਸਿਰਫ਼ ਪੈਕੇਜਾਂ ਨੂੰ ਅਣਇੰਸਟੌਲ ਜਾਂ ਡਾਊਨਗ੍ਰੇਡ ਨਹੀਂ ਕਰ ਸਕਦੇ।
ਵਾਸਤਵਿਕ ਪਹੁੰਚਯੋਗਤਾ ਅਤੇ ਅਸਧਾਰਨ ਵਰਤੋਂ ਦੀ ਸਮੀਖਿਆ ਕਰਨ ਦੇ ਆਧਾਰ ‘ਤੇ ਕਲਾਉਡ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ, LLM ਪ੍ਰਦਾਤਾ ਕੁੰਜੀਆਂ, LiteLLM ਕੁੰਜੀਆਂ ਅਤੇ ਡਾਟਾਬੇਸ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਰੱਦ ਕਰੋ/ਰੋਟੇਟ ਕਰੋ। S41

ਇਹ ਇੱਕ ਪੁਸ਼ਟੀ ਕੀਤੀ ਸਪਲਾਈ ਚੇਨ ਘਟਨਾ ਹੈ ਅਤੇ ਇਸ ਨਾਲ ਨਜਿੱਠਣ ਵੇਲੇ ਖਤਰਨਾਕ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ, ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਲੀਕ, ਅਤੇ ਨਿਰੰਤਰਤਾ ਦੇ ਜੋਖਮਾਂ ‘ਤੇ ਵਿਚਾਰ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। 23 ਅਕਤੂਬਰ, 2026 ਤੱਕ, ਅਧਿਕਾਰੀ ਅਜੇ ਵੀ ਸ਼ੁਰੂਆਤੀ ਘੁਸਪੈਠ ਦੀ ਜਾਂਚ ਕਰ ਰਹੇ ਸਨ।

ਅੰਤਿਕਾ: ਹਵਾਲੇ ਦਿੱਤੇ ਸਰੋਤ ਅਤੇ ਲਿੰਕ

ਹੇਠ ਦਿੱਤੀ ਸਰੋਤ ਪੁਸ਼ਟੀਕਰਨ ਮਿਤੀ 2026-10-23 ਹੈ, ਜਿਸ ਵਿੱਚ ਪ੍ਰੋਜੈਕਟ ਦੀ ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਘੋਸ਼ਣਾ, ਅਧਿਕਾਰਤ ਕੋਡ ਭੰਡਾਰ ਅਤੇ ਵਿਕਰੇਤਾ ਦੀਆਂ ਹਦਾਇਤਾਂ ਸ਼ਾਮਲ ਹਨ। ਮੁੱਖ ਟੈਕਸਟ [Sx] ਇਸ ਅੰਤਿਕਾ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ; ਅੱਪਡੇਟ ਕਰਦੇ ਸਮੇਂ, ਤੁਹਾਨੂੰ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਕਿ ਕੀ ਸਪਲਾਇਰ ਨੇ ਬਾਅਦ ਦੇ ਸੰਸ਼ੋਧਨ ਜਾਰੀ ਕੀਤੇ ਹਨ।

S1 — Node.js: 2026-10-21 ਸੁਰੱਖਿਆ ਨੋਟਿਸ

ਉਦੇਸ਼: ਚਾਰ ਰਨਟਾਈਮ High, ਸ਼ਾਖਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੇ ਹੋਏ, ਅਕਤੂਬਰ ਸੁਰੱਖਿਆ ਰੀਲੀਜ਼।
ਹਵਾਲਾ: Official Security Bulletin

S2 — Node.js: ਤਿੰਨ ਰੱਖ-ਰਖਾਅ ਲਾਈਨਾਂ ਲਈ ਅਧਿਕਾਰਤ ਰੀਲੀਜ਼ ਨਿਰਦੇਸ਼

ਉਦੇਸ਼: 22.23.4, 24.22.1, 26.12.1 ਅਤੇ ਅਸਲ ਵਿਲੀਨ ਕੀਤੇ ਪੈਚਾਂ ਦੀ ਜਾਂਚ ਕਰੋ।
ਹਵਾਲਾ: Node.js 22.23.4
ਹਵਾਲਾ: Node.js 24.22.1
ਹਵਾਲਾ: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ

ਉਦੇਸ਼: ਅੰਦਰ ਵੱਲ/ਆਊਟਬਾਊਂਡ ਡੀਕੋਡਿੰਗ ਹਾਲਾਤ, WAF ਕਵਰੇਜ ਸੀਮਾ, Node 20 ਸਥਿਤੀ।
ਹਵਾਲਾ: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli ਅਧਿਕਾਰਤ ਪੈਚ ਸਬਮਿਸ਼ਨ

ਉਦੇਸ਼: ਨੇਟਿਵ ਡੀਕੋਡਿੰਗ ਜਾਂਚ ਅਤੇ ਗਲਤੀ ਦੇ ਪ੍ਰਸਾਰ ਲਈ ਲਾਗੂ ਕਰਨ ਦਾ ਆਧਾਰ।
ਹਵਾਲਾ: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS ਪਤਾ ਸਧਾਰਣਕਰਨ ਪੈਚ

ਉਦੇਸ਼: ਪੂਰੀ-ਚੌੜਾਈ ਵਾਲੇ ਨੰਬਰਾਂ ਅਤੇ ਗੈਰ-ਸਟੈਂਡਰਡ IP ਦਾ ਸਰਟੀਫਿਕੇਟ ਪਛਾਣ ਪੁਸ਼ਟੀਕਰਨ।
ਹਵਾਲਾ: IP normalization regression Patch
ਹਵਾਲਾ: rejects the patching of non-standard IP address

S6 — Node.js: DNS NUL ਪੁਸ਼ਟੀਕਰਨ ਪੈਚ

ਉਦੇਸ਼: ਇਨਪੁਟ ਅਸਵੀਕਾਰ ਅਤੇ ਰਿਗਰੈਸ਼ਨ ਕਵਰੇਜ।
ਹਵਾਲਾ: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 ਸੁਰੱਖਿਆ ਨੋਟਿਸ

ਉਦੇਸ਼: HTTP/2 ਮੈਮੋਰੀ ਥਕਾਵਟ, UAF ਅਤੇ ਅਨੁਮਤੀ ਮਾਡਲ ਕਮਜ਼ੋਰੀਆਂ।
ਹਵਾਲਾ: July 2026 Security Releases

S8 — Next.js: 2026-10-14 ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ

ਉਦੇਸ਼: ਅੱਪਗਰੇਡ ਬੇਸਲਾਈਨ ਅਤੇ ਤਿੰਨ ਮੁੱਖ ਜੋਖਮਾਂ ਨੂੰ ਇਕਸਾਰ ਕਰੋ।
ਹਵਾਲਾ: Next.js Security Update for Upstream Vulnerabilities

ਹਵਾਲਾ: S9 — Next.js：typed arrays / use cache RCE

ਉਦੇਸ਼: GHSA-673q-mjm6-r5xr; ਅੰਤਰਾਲ, ਸਥਿਤੀ, ਸਕੋਰ ਅਤੇ ਹੱਲ ਸਥਿਤੀ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ।
ਹਵਾਲਾ: Next.js Official Security Bulletin

ਹਵਾਲਾ: S10 — React：React Server Components RCE

ਉਦੇਸ਼: GHSA-xqc2-xf4c-x3h3; ਤਿੰਨ RSC ਪੈਕੇਜਾਂ ਦੇ ਪ੍ਰਭਾਵਿਤ ਅਤੇ ਸਥਿਰ ਸੰਸਕਰਣ।
ਹਵਾਲਾ: React Official Security Bulletin

ਹਵਾਲਾ: S11 — Next.js：SVG Image Optimization RCE

ਉਦੇਸ਼: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, ਤਿੱਖੀ ਅਤੇ ਅਸਲੀ ਸੰਸਕਰਣ ਸੀਮਾਵਾਂ।
ਹਵਾਲਾ: SVG Image Optimization Official Security Bulletin

ਹਵਾਲਾ: S12 — Next.js：Server Actions DoS

ਉਦੇਸ਼: GHSA-p3m5-59mp-jv5r; ਸਥਿਤੀਆਂ, ਸੰਸਕਰਣਾਂ ਅਤੇ ਰੇਟਿੰਗਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ।
ਹਵਾਲਾ: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF ਚਿੱਤਰ ਅਨੁਕੂਲਨ RCE

ਉਦੇਸ਼: 2026-08-25, GHSA-2xp9-vwfh-vxw4.
ਹਵਾਲਾ: AVIF Official Security Bulletin

ਹਵਾਲਾ: S14 — Next.js：Windows RCE

ਉਦੇਸ਼: 2026-08-25, CVE-2026-75604/GHSA-p293-qw3h-jr36।
ਹਵਾਲਾ: Windows RCE Official Security Bulletin

ਹਵਾਲਾ: S15 — Next.js：next/og ImageResponse RCE

ਉਦੇਸ਼: 2026-09-22, GHSA-vcvr-r3jv-pc5j; Node ਅਤੇ Edge ਵਿਚਕਾਰ ਅੰਤਰ।
ਹਵਾਲਾ: ImageResponse Official Security Bulletin
ਹਵਾਲਾ: September 22 release notes

ਹਵਾਲਾ: S16 — Oracle: October 2026 CPU

ਉਦੇਸ਼: Java SE ਜੋਖਮ ਮੈਟ੍ਰਿਕਸ, ਪੈਚ ਦੀ ਮਾਤਰਾ ਅਤੇ ਲਾਗੂ ਸ਼ਰਤਾਂ।
ਹਵਾਲਾ: Oracle Critical Patch Update – October 2026
ਹਵਾਲਾ: Oracle Java SE CPU Version list

S17 — Oracle: CVE-2026-91403 ਬੈਂਡ ਤੋਂ ਬਾਹਰ ਦਾ ਅਲਾਰਮ

ਉਦੇਸ਼: 2026-10-21, JSSE ਸਰਟੀਫਿਕੇਟ ਟਰੱਸਟ ਜੋਖਮ, ਪ੍ਰਭਾਵਿਤ ਉਤਪਾਦ ਅਤੇ CVSS 3.1 9.1।
ਹਵਾਲਾ: Oracle Security Alert

S18 — Oracle: JDK ਅਧਿਕਾਰਤ ਸੰਸਕਰਣ ਅਤੇ ਡਾਊਨਲੋਡ ਕਰੋ

ਉਦੇਸ਼: 20 ਅਕਤੂਬਰ ਨੂੰ CPU ਅਤੇ 21 ਅਕਤੂਬਰ ਨੂੰ ਆਊਟ-ਆਫ-ਬੈਂਡ ਸੰਸਕਰਣ ਵਿਚਕਾਰ ਫਰਕ ਕਰੋ; Java 8 ਦੇ ਛੋਟੇ ਸੰਸਕਰਣ ਦੀਆਂ ਸੀਮਾਵਾਂ ਨੂੰ ਵੱਖ ਕਰੋ।
ਹਵਾਲਾ: JDK release list
ਹਵਾਲਾ: Oracle Java Download page

S19 — Oracle: eMudhra ਅਸਥਾਈ ਕਢਵਾਉਣ ਦੀ ਯੋਜਨਾ

ਉਦੇਸ਼: ਅੱਪਡੇਟ 2026-10-22; ਦੋ ਰੂਟ ਸਰਟੀਫਿਕੇਟ, ਕੀਟੂਲ, ਕਸਟਮ ਟਰੱਸਟਸਟੋਰ, ਅਤੇ ਰੱਦ ਕਰਨ ਦੀ ਜਾਂਚ।
ਹਵਾਲਾ: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: ਬਿਲਡ ਰਿਕਾਰਡ ਜਾਰੀ ਕਰੋ

ਉਦੇਸ਼: Temurin ਸਰਟੀਫਿਕੇਟ ਦੀ ਘਟਨਾ ਦੇ ਕਾਰਨ ਦੁਬਾਰਾ ਪੈਕ ਕੀਤਾ ਗਿਆ ਹੈ; Oracle ਵਰਜਨ ਪਿਛੇਤਰ ਨੂੰ ਮਸ਼ੀਨੀ ਤੌਰ ‘ਤੇ ਲਾਗੂ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
ਹਵਾਲਾ: Adoptium Release Scorecards

S21 — Apache Tomcat 9 ਸੁਰੱਖਿਆ ਨੋਟਿਸ

ਉਦੇਸ਼: 9.0.123 ਫਿਕਸ ਦੇ ਨਾਲ 9-ਸ਼ਾਖਾਵਾਂ ਦਾ ਸਹੀ ਪ੍ਰਭਾਵਿਤ ਅੰਤਰਾਲ।
ਹਵਾਲਾ: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 ਸੁਰੱਖਿਆ ਨੋਟਿਸ

ਉਦੇਸ਼: 10.1 ਸ਼ਾਖਾ ਸਟੀਕ ਅੰਤਰਾਲ ਅਤੇ 10.1.61 ਮੁਰੰਮਤ; 10.0 EOL.
ਹਵਾਲਾ: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 ਸੁਰੱਖਿਆ ਨੋਟਿਸ

ਉਦੇਸ਼: ਤਿੰਨ ਆਈਟਮਾਂ Important, 11.0.27, AJP ਲਾਗੂ ਸਕੋਪ ਅਤੇ ਖੁਲਾਸਾ/ਰਿਲੀਜ਼ ਮਿਤੀ।
ਹਵਾਲਾ: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm ਪੈਚ ਪ੍ਰਤੀਬੱਧ

ਉਦੇਸ਼: ਸਰਟੀਫਿਕੇਸ਼ਨ ਤਸਦੀਕ ਪਾੜੇ ਦੀ ਮੁਰੰਮਤ ਲਈ ਰਸਮੀ ਆਧਾਰ।
ਹਵਾਲਾ: JNDIRealm Patch commit

ਹਵਾਲਾ: S25 — Spring：GraphQL CVE-2026-59285

ਉਦੇਸ਼: 2026-08-20, ਲੋੜੀਂਦਾ, 2.0.5 OSS / 2.0.4.1 ਵਪਾਰਕ ਮੁਰੰਮਤ।
ਹਵਾਲਾ: Spring for GraphQL Unsafe Deserialization

ਹਵਾਲਾ: S26 — Spring：GraphQL CVE-2026-41699

ਉਦੇਸ਼: ਇੱਕ ਪੁਰਾਣੀ ਫਿਕਸ ਥ੍ਰੈਸ਼ਹੋਲਡ, ਸਿਰਫ਼ ਇਹ ਦੱਸਣ ਲਈ ਕਿ ਤੁਸੀਂ ਪੁਰਾਣੀ ਬੇਸਲਾਈਨ ‘ਤੇ ਕਿਉਂ ਨਹੀਂ ਰਹਿ ਸਕਦੇ।
ਹਵਾਲਾ: 6 Month GraphQL Security Bulletin

ਹਵਾਲਾ: S27 — Spring Security：CVE-2026-59270

ਉਦੇਸ਼: UnboundID LDAP, ਜਾਣੀ ਜਾਂਦੀ ਪ੍ਰਬੰਧਨ ਪਛਾਣ ਨੂੰ ਸ਼ਾਮਲ ਕਰੋ ਅਤੇ OSS/ਵਪਾਰਕ ਸੰਸਕਰਣ ਨੂੰ ਵੱਖ ਕਰੋ।
ਹਵਾਲਾ: Spring embedded LDAP Security Bulletin

ਹਵਾਲਾ: S28 — Spring Security：CVE-2026-47841

ਉਦੇਸ਼: WebAuthn ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣੀਕਰਨ, ਸੈਸ਼ਨ ਸੀਰੀਅਲਾਈਜ਼ੇਸ਼ਨ ਅਤੇ ਹਮਲੇ ਦਾ ਆਧਾਰ।
ਹਵਾਲਾ: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 ਸੁਤੰਤਰ ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ

ਉਦੇਸ਼: 2026-09-30, Critical, SNI ਹਾਲਾਤ ਅਤੇ ਅਸਥਾਈ ਉਪਾਅ SSLContext ਦੁਆਰਾ ਹਵਾਲਾ ਦਿੱਤਾ ਗਿਆ ਹੈ।
ਹਵਾਲਾ: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 ਸੁਤੰਤਰ ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ

ਉਦੇਸ਼: 2026-09-30, High, ਗੁੰਮ ਹੋਸਟਨਾਮ ਅਤੇ ਸਪੱਸ਼ਟ ਮਾਪਦੰਡ ਘਟਾਉਣਾ।
ਹਵਾਲਾ: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio ਅਧਿਕਾਰਤ ਪੈਚ ਅਤੇ 3.12 ਬੈਕਪੋਰਟ

ਉਦੇਸ਼: 3.10—3.12 ਚੇਤਾਵਨੀ ਅਨੁਕੂਲਤਾ ਨੀਤੀ, None ਅਤੇ ਖਾਲੀ ਸਤਰ ਵਿਚਕਾਰ ਅੰਤਰ।
ਹਵਾਲਾ: Main Patch PR #158503
ਹਵਾਲਾ: 3.12 Backfill PR #158513
ਹਵਾਲਾ: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 ਸੁਤੰਤਰ ਸੁਰੱਖਿਆ ਸਲਾਹਕਾਰ

ਉਦੇਸ਼: 2026-09-14, High, ਲਿੰਕ ਸੁਮੇਲ, ਮੈਟਾਡੇਟਾ ਸੋਧ ਅਤੇ ਸਮੱਗਰੀ ਐਕਸਪੋਜ਼ਰ।
ਹਵਾਲਾ: tarfile link bypasses the official announcement

S33 — CPython: ਸਤੰਬਰ ਦੇ ਅੰਤ/ਅਕਤੂਬਰ ਦੇ ਸ਼ੁਰੂ ਵਿੱਚ ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਆ ਰਿਲੀਜ਼

ਉਦੇਸ਼: ਟਾਰਫਾਈਲ ਖਾਸ ਮੁੱਦਿਆਂ ਲਈ ਘੱਟੋ-ਘੱਟ ਫਿਕਸ ਸੰਸਕਰਣ, ਸਰੋਤ ਕੋਡ ਵੰਡ ਵਿਧੀ ਅਤੇ 3.14 ਛੋਟ।
ਹਵਾਲਾ: Python Cross-branch security release instructions
ਹਵਾਲਾ: Python 3.11.17
ਹਵਾਲਾ: Python 3.12.15
ਹਵਾਲਾ: Python 3.13.16
ਹਵਾਲਾ: Python 3.14.8

S34 — CPython: 3.10 ਆਖਰੀ ਸੁਰੱਖਿਅਤ ਰਿਲੀਜ਼

ਉਦੇਸ਼: 3.10.22 ਅਤੇ ਅੱਪਸਟਰੀਮ ਜੀਵਨ ਚੱਕਰ ਦਾ ਅੰਤ।
ਹਵਾਲਾ: Python 3.10.22

S35 — CPython: 2026-10-21 ਸੰਕਟਕਾਲੀਨ ਰੱਖ-ਰਖਾਅ ਸੰਸਕਰਣ

ਉਦੇਸ਼: 3.13.17 / 3.14.9 / 3.15.1, ਬਿਲਟ-ਇਨ pip ਅਤੇ certifi ਅੱਪਡੇਟ, ਮੌਜੂਦਾ venv ਲੋੜਾਂ।
ਹਵਾਲਾ: Python 3.13.17
ਹਵਾਲਾ: Python 3.14.9
ਹਵਾਲਾ: Python 3.15.1

S36 — certifi: emSign ਸਰਟੀਫਿਕੇਟ ਅਵਿਸ਼ਵਾਸ ਘੋਸ਼ਣਾ

ਉਦੇਸ਼: 2026-10-20, GHSA-6q48-6c7w-9gw2, Critical, ਕੋਈ ਜਾਣਿਆ ਨਹੀਂ CVE।
ਹਵਾਲਾ: certifi Official Security Bulletin

S37 — PSF: Python ਉਪਭੋਗਤਾਵਾਂ ‘ਤੇ eMudhra / emSign ਦਾ ਪ੍ਰਭਾਵ

ਉਦੇਸ਼: certifi .19 ਸਿਫ਼ਾਰਿਸ਼, pip/uv ਬੇਸਲਾਈਨ, SHA-256 ਨਾਲ ਭਰੋਸੇਯੋਗ ਬੂਟ ਅੱਪਗਰੇਡ ਕਮਾਂਡ।
ਹਵਾਲਾ: PSF Official event and upgrade instructions

pip ਬੂਟ ਅੱਪਗਰੇਡ ਕਮਾਂਡ S37 ਦੁਆਰਾ ਦਰਸਾਏ ਅਧਿਕਾਰਤ ਨਿਰਦੇਸ਼ਾਂ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੀ ਗਈ ਹੈ। ਸਿਰਫ਼ Python ਵਾਤਾਵਰਨ ਵਿੱਚ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੇ ਭਰੋਸੇਯੋਗ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ; ਜੇ ਧਾਰਾ 9 ਵਿੱਚ ਜ਼ਹਿਰ ਦਾ ਸ਼ੱਕ ਹੈ, ਤਾਂ ਪਹਿਲਾਂ ਘਟਨਾ ਦੀ ਪ੍ਰਕਿਰਿਆ ਦੇ ਅਨੁਸਾਰ ਅਲੱਗ ਕਰੋ ਅਤੇ ਦੁਬਾਰਾ ਬਣਾਓ। ਇਹ ਵ੍ਹੀਲ ਸਮਗਰੀ ਹੈਸ਼ ਨੂੰ ਠੀਕ ਕਰਦਾ ਹੈ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਪ੍ਰੋਜੈਕਟ ਪ੍ਰਕਿਰਿਆ ਦੇ ਅਨੁਸਾਰ ਹੋਰ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਅਪਡੇਟ ਕਰਦਾ ਹੈ।

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 ਸੁਰੱਖਿਅਤ ਰਿਲੀਜ਼

ਵਰਤੋਂ: CVE-2026-15307, GeoDjango ਸ਼ੋਸ਼ਣ ਦੀਆਂ ਸਥਿਤੀਆਂ, ਸ਼ੁਰੂਆਤੀ ਫਿਕਸ ਅਤੇ ਅਨੁਕੂਲਤਾ ਤਬਦੀਲੀਆਂ।
ਹਵਾਲਾ: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 ਸੁਰੱਖਿਅਤ ਰਿਲੀਜ਼

ਉਦੇਸ਼: CVE-2026-87890, ਜਿਓਮੈਟਰੀ DoS ਵਰਤਮਾਨ ਵਿੱਚ ਚੁਣੀ ਗਈ ਬੇਸਲਾਈਨ ਦੇ ਨਾਲ ਬਾਅਦ ਵਿੱਚ ਮਜ਼ਬੂਤੀ।
ਹਵਾਲਾ: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: ਨਵੀਨਤਮ ਟਾਰ_ਫਿਲਟਰ ਸਾਈਡ ਨੋਟ

ਉਦੇਸ਼: 2026-10-22, CVE-2026-114583 (Medium); PR ਵਿਲੀਨਤਾ ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਅਧਿਕਾਰਤ ਰੱਖ-ਰਖਾਅ ਸੰਸਕਰਣ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਹੈ।
ਹਵਾਲਾ: PSF Independent Announcement
ਹਵਾਲਾ: CPython Patch PR #160098

S41 — LiteLLM: ਅਧਿਕਾਰਤ ਸਪਲਾਈ ਚੇਨ ਘਟਨਾ ਰਿਪੋਰਟ, ਅਕਤੂਬਰ 21

ਉਦੇਸ਼: 1.107.0 ਦੂਸ਼ਿਤ ਉਤਪਾਦ, ਇਤਿਹਾਸਕ ਡਾਇਜੈਸਟ, ਆਈਸੋਲੇਸ਼ਨ ਪੁਨਰ ਨਿਰਮਾਣ ਅਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨਿਪਟਾਰੇ।
ਹਵਾਲਾ: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: ਅਧਿਕਾਰਤ ਸੁਰੱਖਿਅਤ ਸੰਸਕਰਣ

ਉਦੇਸ਼: ਸੁਤੰਤਰ Brotli 1.0.10 / 1.1.1 / 1.2.1 ਅਤੇ ਅੰਤਰ-ਭਾਸ਼ਾ ਏਮਬੈਡਡ ਕਾਪੀ ਪੁਸ਼ਟੀਕਰਨ ਆਧਾਰ।
ਹਵਾਲਾ: Brotli releases

S43 — mise: ਕਮਾਂਡ ਅਧਿਕਾਰਤ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ

ਉਦੇਸ਼: ਗਲੋਬਲ ਕੌਂਫਿਗਰੇਸ਼ਨ ਦੇ ਟੂਲ ਸੰਸਕਰਣ ਅਤੇ ਕਮਾਂਡ ਸਿਮੈਨਟਿਕਸ ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰੋ।
ਹਵਾਲਾ: mise use

S44 — PyPA: pip- ਆਡਿਟ ਅਧਿਕਾਰਤ ਪ੍ਰੋਜੈਕਟ

ਉਦੇਸ਼: Python ਨਿਰਭਰਤਾ ਕਮਜ਼ੋਰੀ ਆਡਿਟਿੰਗ ਦੇ ਉਦੇਸ਼ ਅਤੇ ਸਮਰੱਥਾ ਦੀਆਂ ਸੀਮਾਵਾਂ।
ਹਵਾਲਾ: pip-audit

S45 — Python: ਟਾਰਫਾਈਲ ਐਕਸਟਰੈਕਸ਼ਨ ਫਿਲਟਰ ਦਸਤਾਵੇਜ਼

ਉਦੇਸ਼: ਡੇਟਾ ਰਣਨੀਤੀ, ਪੂਰਵ-ਨਿਰਧਾਰਤ ਵਿਵਹਾਰ ਵਿੱਚ ਤਬਦੀਲੀਆਂ, ਅਤੇ ਪਾਬੰਦੀਆਂ ਜੋ ਸੈਂਡਬੌਕਸ ਨੂੰ ਨਹੀਂ ਬਦਲ ਸਕਦੀਆਂ।
ਹਵਾਲਾ: tarfile extraction filters

S46 — Node.js: ਇੰਟਰਮੀਡੀਏਟ CA ਅਸਵੀਕਾਰ ਵਿਧੀ

ਉਦੇਸ਼: ਇਹ eMudhra ਸੰਬੰਧਿਤ ਟਰੱਸਟ ਚੇਨ ਪ੍ਰੋਸੈਸਿੰਗ ਸਾਰੇ ਰੂਟ ਸਰਟੀਫਿਕੇਟਾਂ ਦੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਅਪ੍ਰਮਾਣਿਕਤਾ ਦੇ ਬਰਾਬਰ ਨਹੀਂ ਹੈ।
ਹਵਾਲਾ: Node.js PR #66871

S47 — CPython: SNI UAF ਤਕਨੀਕੀ ਨੋਟਸ ਅਤੇ ਫਿਕਸ

ਉਦੇਸ਼: ਹਵਾਲਾ ਜੀਵਨ ਚੱਕਰ, ਵਿਸ਼ੇਸ਼ ਬਿਲਡ ਹਾਲਤਾਂ ਅਤੇ ਬ੍ਰਾਂਚ ਬੈਕਟ੍ਰੈਕਿੰਗ।
ਹਵਾਲਾ: official issue #156293
ਹਵਾਲਾ: official patch PR #158504
ਹਵਾਲਾ: 3.15 Backfill PR #158514