سرچینې د اکتوبر 23، 2026 پورې چک شوي (UTC) د پوښښ موده: د جولای له 25 څخه تر اکتوبر 23، 2026، د سپتمبر څخه تر اکتوبر پورې په نویو اعلانونو او ورپسې پیچونو تمرکز کوي. اوریدونکي: انجینران او امنیتي ځواب ورکوونکي چې د Node.js، Java، Python خدمتونه، کانټینرونه، د پایپ لاینونو جوړول او پراختیایي چاپیریال ساتي.

دا مقاله په Node.js، Java، او Python منډو، معیاري کتابتونونو، او عام سرور چوکاټونو او انحصارونو کې وروستي مهم امنیتي خطرونه لنډیز کوي، او د اغیزو ساحه، ثابته نسخه، لنډمهاله کمولو اقدامات، د پیچ کولو طریقه، د پیچلو انتخاب طریقه چمتو کوي.

د اجزاو نسخو په وړاندې د اغیزو ارزونه، فعال شوي ځانګړتیاوې او د لاسرسي وړ ننوتلو نقطو. د زیان مننې حقایق د رسمي مشورې څخه راځي؛ نیټې عامه افشاء کولو ته راجع کیږي پرته لدې چې د مخکینۍ پیچ خوشې کول په واضح ډول یاد شوي وي. موږ د استثمار غیر تایید شوي شرایط ، CVSS نمرې یا په ځنګل کې استثمار نه کوو. د ګمارنې مشوره د پلي کولو لارښود په توګه پیژندل کیږي.

TL؛ DR: د درملنې لومړیتوبونه

  1. هغه وخت تازه کړئ چې واقعیا لومړی خدمت کوربه کوي. اړوند Node.js څانګه لږترلږه 22.23.4 / 24.22.1 ته تازه کړئ 26.12.1. هغه خدمتونه چې د Node 24 کاروي کولی شي په ورته لوی نسخه کې 24.22.1 ته لوړ شي یا په وروستي نسخه کې چې ورته اصلاحات لري. S1S2
  2. Update Node application dependencies separately. For Next.js, use 15.5.28 / 16.4.1 as the upgrade baseline; کله چې React Server Components په خپلواکه توګه کاروئ، اصلي نصب شوي react-server-dom-* بسته وګورئ. یوازې د Node بائنری تازه کول د دې چوکاټ زیانونه نه پوښي. S8S9S10S11S12
  3. Java : د تازه معلوماتو دواړه پړاوونه پوښي. د اکتوبر 20 دواړه پوښښ د پلورونکي ودانۍ نصب کړئ CPU او د اکتوبر 21 CVE-2026-91403 اضطراري سند - د باور اصلاح. برخه وګورئ 2.2 لپاره Oracle JDK 11 -27 د بانډ څخه بهر نسخې؛ د خپلو امنیتي کڅوړو او بشپړ جوړ شوي شمیرو په وړاندې نور توزیع تصدیق کړئ. اړونده تازه کړئ Tomcat څانګې ته 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
  4. Python : ژباړونکی، د غوښتنلیک کڅوړې او د سند کڅوړې په جلا توګه تازه کړئ. برخه وګورئ 2.3 د ژباړونکي اساساتو لپاره؛ certifi سپارښتنه کوي ≥ 2026.10.19 , pip ≥ 26.2.2 ، کله چې کارول کیږي uv ≥ 0.13.4 . هر موجود وینوی باید معاینه شي. لپاره wrap_bio() اړوند کوډونه، سم او غیر خالي server_hostname هم باید داخل شي. S29 S30 S31 S33 S35 S36 S37
  5. که سمدستي اپ گریڈ ناممکن وي، په اړونده ننوتلو نقطو کې افشا کول کم کړئ. د بې باورۍ مخه نیولو ته لومړیتوب ورکړئ Brotli کوډ کول، اغیزمن انځور/پاینګ/آرشیف پروسس کول، او د ستونزو جلا کول LDAP یا د تصدیق ثبتونه؛ ساتل TLS سندونه او کوربه نومونه تایید شوي. دننه WAF نشي کولی بهر ته تګ لارې پوښښ کړي لکه غوښتنلیکونه چې ناوړه فشار شوي غبرګونونه راوباسي. S3 S11 S25 S27 S30 S32
  6. بیا جوړ کړئ، زاړه پروسې ځای په ځای کړئ، او د حقیقي خدماتو له لارې تایید کړئ. د لاک فایل او عکس هضم خوندي کړئ، غوښتنلیک او عکس بیا جوړ کړئ، د ټولو کارمندانو / JVM / کانټینرونو لپاره ځای پرځای کړئ؛ اصلي پروسه چیک کړئ ، د انحصار ونې ، د باور پلورنځی او د سوداګرۍ راجسټریشن ازموینې. یوازې د کمانډ لاین نوې نسخه دا نه رامینځته کوي چې درملنه بشپړه شوې.
  7. I که LiteLLM 1.107.0 نصب یا چلول شوی وي، د پیښې د غبرګون طرزالعملونه تعقیب کړئ. پروژې د اکتوبر په 21 د خوشې کولو موافقت تایید کړ. اغیزمن چاپیریال جلا کړئ، د پاک چاپیریال څخه تحقیق وکړئ، بیا جوړ کړئ او افشا شوي اسناد وګرځوئ. د لومړي چک کولو لپاره په شکمن چاپیریال کې Python/pip مه پیل کړئ. د جزیاتو لپاره 9 برخه وګورئ. S41

1. د زیان مننې عمومي کتنه او د خطر ارزونه

1.1 د ریښتیني افشا کیدو له لارې درملنې ته لومړیتوب ورکړئ

لاندې د ګمارنې لومړیتوبونه د پلي کولو لارښوونې دي. د شدت لیبلونه هر پلورونکی تعقیبوي، په شمول د Apache د Important درجه بندي. CVSS 3.1 او 4.0 د مختلف سکور کولو سیسټمونه دي؛ یوازې د نمرو له مخې مسلې مه درجه بندي کړئ.

ایکوسیستم / پرتمهمې مسلېرسمي درجه یا تایید شوې نمرېد لومړیتوب ځای پرځای کول
Node.js اصلي انحصارCVE-2026-111497: Brotli د حد څخه بهر لیکل شوی، او د RCE خطر شتون لريNode：Highد Brotli ډاټا S1S3 په بهرنۍ غوښتنې بدن یا بهرني ځواب کې ډیکوډ کړئ
Node.js TLS / DNSCVE-2026-105482, 105483, 106069: پارس کول او د هویت تصدیق متضاد ديHighURL کرول، پراکسي، Webhook، متحرک هدف پته S1S5S6
Node.js HTTP/2CVE-2026-56846, 56848: حافظه ختمه شوې او UAFHighNode په مستقیم ډول د بې اعتباره HTTP/2 ترافیک S7 اداره کوي
React / Next.jsRSC / use cache typed arrays RCECritical；CVSS 4.0 9.5سرور RSC، اړونده کیچ اجزا او د معلوماتو لاره S9S10
Next.js انځور اصلاح کولCVE-2026-96889: SVG انځور پروسس کول RCECritical；CVSS 4.0 9.5په glibc Linux کې مثالونه چې غیر باوري عکسونه اداره کولی شي S11
Next.js Server Actionsپه ځانګړي ډول جوړ شوي غوښتنه د CPU د ختمیدو لامل کیږيHigh；CVSS 4.0 8.2App Router او لږترلږه یو Server Action S12
Java TLS باورCVE-2026-91403: په اغیزمن شوي منځني CA باور ته دوام ورکړئCVSS 3.1 9.1TLS/API سناریو S17 د اغیزمن باور چین په کارولو سره
TomcatJNDIRealm تصدیق بای پاس، HTTP/2 کراس غوښتنه مکس اپ، AJP غبرګون لیکImportantد Realm / Connector / async Servlet لارې سره مطابقت لري S21S22S23
Spring for GraphQLCVE-2026-59285: د مخونو بندول RCEHighJackson 2 + Connection پاڼه کول + د ګټې اخیستنې وړ ټولګی S25
Spring SecurityCVE-2026-59270: سرایت شوی LDAP پیژندل شوی مدیریت هویت افشا شویCriticalایمبیډ شوی LDAP فعال شوی او د اوریدلو پورټ برید کونکي S27 ته د لاسرسي وړ دی
CPython sslCVE-2026-19445: SNI د شرایطو بدلول په UAF کېCriticalPython پخپله TLS پای ته رسوي، او د شرایطو د ژوند دورې حالت S29 پوره کوي
CPython sslCVE-2026-19553: کله چې کوربه نوم ورک وي تصدیق پریږدئHighwrap_bio() / اړوند asyncio کال ورک شوی متوقع کوربه نوم S30
CPython tarfileCVE-2026-82049: هارډ لینک او سمبولیک لینک ترکیب بای پاسHighپه اتوماتيک ډول د بې اعتباره ټار آرشیف S32 استخراج کړئ
Django / GeoDjangoCVE-2026-15307: د ځایي پوښتنې لیکلو فایل، SSRF، د RCE حالت لاندېHighځایي پوښتنې یا اړونده ادارې انٹرفیسونه چې بې اعتباره داخله مني S38
Python سند انحصارcertifi: emSign اړوند سند بې باوريCritical; GHSA، هیڅ نه پیژندل شوی CVETLS پیرودونکي او د بسته بندي مدیریت وسیله S36S37 لاهم اغیزمن CA bundle کاروي

لنډیزونه: RCE د ریموټ کوډ اجرا کولو لپاره ولاړ دی، UAF د کارولو وروسته - وړیا لپاره ولاړ دی، او SSRF د سرور اړخ غوښتنې جعل لپاره ولاړ دی. د RCE مستقیم اجازې معمولا د غوښتنلیک کوربه کولو پروسې اجازې دي او په اوتومات ډول نشي کولی د ریښې اجازې سره مساوي وي.

وړاندیز شوی ترتیب: لومړی RCE اداره کوي، کوم چې په بهر کې د لاسرسي وړ دی او شرایط پوره کوي، د اعتبار بای پاس، د کراس کاروونکي ډیټا لیک او د سند تصدیق کولو مسلې؛ په ورته وخت کې، د خلکو سره مخامخ DoS د ننوتلو نقطې لپاره تازه معلومات مهالویش. د استحصال ثابتولو لپاره په تولید کې د برید پایلوډونو چلولو ته اړتیا نشته. انحصار شتون لري، د کوډ لارې د لاسرسي وړ دي، او د برید شرایط پوره کیږي. دا درې مسلې دي چې باید په جلا توګه وڅیړل شي.

1.2 درې په اسانۍ سره ګډوډ سرحدونه

  • د منډو وخت او انحصار په جلا توګه لوړ کړئ. لپاره امنیتي تازه معلومات Node , JDK , CPython په اوتومات ډول د سټایلون تاسیساتو ترمیم نه کوي Next.js , Spring , Django , certifi یا اصلي توسیعونه.
  • د remediation حد د اوسنۍ ګمارنې له اساس څخه جلا دی. د اګست په میاشت کې د زیانمننې لپاره لومړی پیچ د سپتمبر څخه تر اکتوبر پورې د نوي مسلو پوښلو تضمین نلري؛ برخه 2 د پلي کولو هدف په توګه تایید شوي وروستي تازه معلومات کاروي.
  • د یو ریښتیني اکمالاتي سلسلې جوړجاړی څخه زیان منونکي توپیر کړئ. د عامو زیانونو لپاره، پیچ د راتلونکي برید لارې له منځه وړي؛ کله چې ناوړه کڅوړې چلول شوي وي، د اعتبار او دوام اغیزې باید وڅیړل شي. 9 برخه LiteLLM په رسمي توګه تایید شوې پیښه ده. S41

ایا په ځنګل کې د استخراج تصدیق شوی دی باید د رسمي افشاء پراساس وي. پلورونکي د استثماري فعالیتونو یادونه نه ده کړې او نشي کولی ثابت کړي چې هیڅ برید شتون نلري؛ درملنه باید د اصلي برید سطحې پراساس ترسره شي.

2. د ثابتې نسخې چټکه کتنه او د ځای پرځای کولو اساس

سرچینه: 2.1 Node.js、React、Next.js

برخه / څانګهوړاندیز شوی نسخه بیس لایند کارولو لپاره لارښوونې
Node.js 22.x22.23.4امنیت خپور شوی S1S2 د اکتوبر په 21 مه
Node.js 24.x24.22.1د 24.x څانګې ته تطبیق کیږي؛ 24.22.0 د اکتوبر 21 امنیتي پیچ نه لري S1S2
Node.js 26.x26.12.1په ورته بسته کې د امنیت خوشې کول S1S2
Node.js 20 او مخکینۍ پورته څانګېملاتړ شوي څانګې ته مهاجرت وکړئNode 20 دا اپ سټریم فکس نه مني؛ د پلورونکي تمدید شوي ملاتړ باید په جلا توګه S3 تایید شي
Next.js 15.x15.5.28د اکتوبر په 14 S8 تازه شوی
Next.js 16.x16.4.1د پورته S8 په څیر
سټینډیلون RSC 19.0 / 19.1 / 19.2 / 19.3 څانګه19.0.9 / 19.1.10 / 19.2.9 / 19.3.1درې react-server-dom-* کڅوړې په جلا توګه وګورئ؛ یوازې پورتنۍ پرت ته مه ګورئ react S10
Next په حقیقت کې sharp بار شوی≥0.35.5د SVG زیانمننې لپاره رسمي لنډمهاله حل شرایط؛ نور Next.js پیچونه نه بدلوي S11

Node په رسمي ډول د اکتوبر د زیانمننې لپاره د ساتنې اغیزمن شوي څانګې لیست کوي، مګر د توکو په واسطه د پیل شوي پیچ نسخه توکي نه وړاندې کوي، نو د هرې زیانمننې دقیق پیل نسخه یوازې د ساتنې څانګې رینج پراساس نشي ټاکل کیدی. کله چې ګمارل کیږي، د ورته څانګې پورتنۍ نسخې کارولو ته لومړیتوب ورکړئ یا د ورته فکسونو درلودو لپاره تایید شوې وروستۍ نسخه.

2.2 Java: اکتوبر CPU پلس د بانډ څخه بهر سند تازه کول

دا جدول په Oracle JDK باندې تطبیق کیږي. دوهم کالم یوازې د اکتوبر 20 CPU پوښي؛ په دریم کې د اکتوبر د 21 څخه بهر خوشې کول شامل دي. یوازې د CPU نسخې ټول Java خطرونه نه پوښي چې دلته بحث شوي. S16S17S18

څانګهاکتوبر 20 CPUOracle د اکتوبر په 21 د بډ څخه بهر خپور شو
1111.0.3311.0.33.0.2
1717.0.2117.0.21.0.2
2121.0.1321.0.13.0.2
2525.0.525.0.5.0.2
2727.0.127.0.1.0.2
88u511د عامه خوشې کولو میز لاهم 8u511 ښیې؛ د ځانګړي امنیت جوړونې او د باور سلسلې ترمیم باید وڅیړل شي، او یوازې د لنډ نسخې شمیرې پراساس نشي ټاکل کیدی

**Java 8 اړتیا لري د بشپړ جوړونې معلوماتو پروړاندې وڅیړل شي:**Oracle خبرتیا 8u511 د اغیزمنې نسخې په توګه لیست کوي ، او د خوشې کولو لیست د ورته لنډ نوم سره راتلونکي تازه معلومات لیست کوي. د پیچ ​​حالت یوازې د “8u511” لنډ نسخه شمیرې پراساس توپیر نشي کیدی. تاسو باید د ځانګړي امنیت جوړونې او باور سلسلې اصلاحات تایید کړئ. S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK ، د خپریدو نسخه OpenJDK ، او داسې نور، د دوی اړوند اعلاناتو او بشپړ بسته / جوړ شمیرې سره سم چیک کړئ. د مثال په توګه، د رسمي خوشې ریکارډ Adoptium وايي چې اړونده جوړښت د اضافه کولو لپاره له سره بسته شوی دی eMudhra اصلاح کول د اپ سټریم نسخه ورته نوم پدې معنی ندي چې د کڅوړې مینځپانګه ورته ده. د .0.2 لپاره ضوابط Oracle په میخانیکي ډول په نورو خپرونکو باندې نشي پلي کیدی. S20

Java غوښتنلیک اجزاوړاندیز شوی نسخه بیس لاینڅرګندونې
Tomcat 9 / 10.1 / 119.0.123 / 10.1.61 / 11.0.27د څانګې په واسطه څانګه چیک کړئ؛ Tomcat 10.0 ساتنه بنده شوې ده S21S22S23
Spring for GraphQL 2.0.x2.0.5（OSS）سوداګریز ملاتړ هم 2.0.4.1 S25 دی
Spring Security 7.1 / 7.07.1.1 / 7.0.7（OSS）د اګست په میاشت کې اعلان شوي لږترلږه فکس نسخه سره مطابقت لري؛ تاسو اړتیا لرئ د ځای پرځای کولو دمخه د راتلونکي امنیت بلټین S27S28 وګورئ
Spring Security 6.5 / 6.4 / 5.8 / 5.76.5.12 / 6.4.19 / 5.8.28 / 5.7.26اعلان د سوداګریز مالتړ فکس په توګه لیست شوی؛ مهاجرت ارزول کیږي کله چې ورته ملاتړ شتون ونلري، او داسې انګیرل نشي چې Maven Central وړیا S27 لپاره شتون لري

د Spring اپ گریڈونه باید د پروژې Spring Boot BOM، Java لږترلږه نسخه او مطابقت لینونو ته درناوی وکړي. په مستقیم ډول د پیچ ​​ترلاسه کولو لپاره ټول Spring ماډلونه ورته شمیر ته مجبور مه کوئ.

2.3 CPython، Django او د سند انحصار

د لاندې جدول دوهم کالم د TLS مسلې باندې تمرکز کوي چې په سپتمبر کې افشا شوي؛ د tarfile لپاره د څانګې توپیرونه د 5.3. برخه کې ښودل شوي د اکتوبر 21 خپرونه د بنډل شوي سند وسیلې هم تازه کوي، نو په وروستي کالم کې هغه وروسته ځای پرځای شوي اساسات شامل دي. S29S30S33S35

CPython څانګهد سپتمبر امنیت بیچ لږترلږه نسخهوړاندیز شوی ځای پرځای کول اساسی کرښه
3.103.10.22له پورته څخه وروستی خپور شوی، EOL؛ د مهاجرت تنظیم کول یا د خوشې کولو توسیع ملاتړ S34 تایید کړئ
3.113.11.173.11.17، او په انفرادي ډول په هر چاپیریال کې pip/certifi تازه کړئ
3.123.12.153.12.15، او په انفرادي ډول په هر چاپیریال کې pip/certifi تازه کړئ
3.133.13.163.13.17
3.143.14.83.14.9
3.15د 3.15.0 وروستي خوشې کې دواړه TLS فکسونه S31S47 شامل دي3.15.1

د 3.11 او 3.12 اپ سټریم امنیتي نسخې یوازې د سرچینې کوډ کې خوشې کیدی شي؛ کله چې د عملیاتي سیسټم کڅوړه وکاروئ ، د پلورونکي بیک پورټ مشورې او د کڅوړې بشپړ نسخه چیک کړئ ، او هیڅ اړتیا نشته چې سیسټم Python په زور سره د ځان جوړ شوي نسخې سره بدل کړئ. S33S34

خپلواک انحصاروړاندیز شوی نسخه بیس لاینتفصیل
Django 5.2 / 6.0 / 6.15.2.18 / 6.0.9 / 6.1.2راتلونکی سمون S38S39 د اکتوبر په 6 کې شامل کړئ
certifi≥2026.10.19GHSA لومړنی پیچ دی .18؛ PSF وړاندیز کوي .19 د غیر اغیزمن سندونو لپاره مطابقت ساتل S36S37
pip≥26.2.2د certifi جوړ شوی کاپي باید په جلا توګه تازه شي S35S37
uv (که کارول کیږي)≥0.13.4د اصلي نصب کولو میتود سره سم S37 تازه کړئ

دا اساسات د لیست شوي فکسونه پوښي. په tar_filter کې بله منځني شدت مسله د اکتوبر په 22 افشا شوه. د اکتوبر 23، 2026 پورې، د ساتنې رسمي نسخه چې دا فکس لري لا تر اوسه تایید شوی نه دی؛ له همدې امله، 3.13.17 / 3.14.9 / 3.15.1 د ټرافائل ټولې مسلې پوښلي ندي. د 5.4. S40 برخه وګورئ

2.4 د توزیع بیک پورټونو تصدیق کول

د پلي کولو اصول په Ubuntu، Debian، RHEL او نورو سافټویر کڅوړو کې پلي کیږي:

  1. د عملیاتي سیسټم نسخه، د ذخیره کولو سرچینه، د بشپړ کڅوړې نسخه، او د پلورونکي امنیتي بلیټین شمیره ثبت کړئ.
  2. تایید کړئ چې مشورتي ځانګړي CVE پوښي او د اړونده توزیع خوشې کولو لپاره یو ثابت بسته پیژني.
  3. د ریښتیني چلولو پروسې لخوا بار شوي بائنری/کتابتونونه پرتله کړئ ، نه یوازې د اپ سټریم لنډ نسخه.
  4. کله چې د پلورونکي پیچ هیڅ شواهد شتون نلري، دا پریږدئ چې “تایید شي” او دا د یوازینۍ پایلې په توګه مه اخلئ چې د نسخې شمیره زاړه یا نوې ښکاري.

د apt/RPM بسته نسخو او د بیالبیلو توزیع بیکپورټ ستراتیژیو کې توپیرونه شتون لري. د هرې توزیع امنیت بلټین او بشپړ بسته نسخه باید غالب وي.

3. Node.js / JavaScript ایکوسیستم: د لاملونو تحلیل او درملنه

3.1 CVE-2026-111497: Brotli اصلي ډیکوډر د حد څخه بهر لیکل

افشا کول: 2026-10-21; Node رسمي درجه: High. د Node 22.x، 24.x، 26.x اغیزمن شوي جوړونه د پیچ ​​برخې 2.1 نصبولو ته اړتیا لري. Node اعلان د CVSS نمرې شمیرې لیست نه کوي. S1

ستونزه د اصلي کوډ کولو منطق کې رامینځته کیږي کله چې د خراب شوي Brotli کمپریس شوي جریان اداره کول ، کوم چې کولی شي د حد څخه بهر لیکلو لامل شي. د Vercel رسمي توضیحات تاییدوي چې د څیړنې مظاهرې د پروسې حافظه لیک او د قوماندې اجرا کول شامل دي. ایا برید کوونکی کولی شي ډیکوډر ته ورسیږي پدې پورې اړه لري چې ایا غوښتنلیک یا انحصار په حقیقت کې هغه ډاټا ډیکوډ کوي چې دا کنټرولوي. S3

دواړه لارښوونې باید په ورته وخت کې وڅیړل شي:

  • inbound: The چوکاټ یا مډل ویئر په اوتومات ډول د کارونکي لخوا سپارل شوي Brotli غوښتنې باډي ډیمپریس کوي.
  • **outbound:**HTTP پیرودونکي، عکس اخیستونکي، او داسې نور د برید کونکي کنټرول وړ سرچینو ته لاسرسی ومومي او په اتوماتيک ډول بیرته راګرځیدونکي مینځپانګې ډیمپریس کړي.

براوزرونو ته لیږل شوي ځوابونو Brotli کمپریشن غیر فعال کول د کوډ کولو ننوتلو نقطه نه لرې کوي. د داخلي WAF محافظت هم د غوښتنلیکونو راوړل او د خارجي ځوابونو کوډ کولو پوښښ نه کوي. S3

**Patch سمت:**Node Brotli اپ سټریم فکس په اصلي انحصار کې حرکت وکړئ، او د غیرقانوني کوډ کولو حالت چک کول او د خطا تبلیغ بشپړ کړئ. کله چې د ځان تالیف شوي نسخه ساتل، تاسو باید د رسمي امنیت خوشې کولو یا د سمون څانګې بشپړ پیچ وکاروئ. تاسو نشئ کولی یوازې د JavaScript کڅوړې نسخه بیان بدل کړئ. S4

د لنډمهاله پلي کولو وړاندیزونه: غیر ضروري غیر باوري Brotli کوډ کول بند کړئ؛ د مینځلویر او HTTP پیرودونکي اتوماتیک ډیکمپریشن چلند چیک کړئ؛ که چیرې سوداګرۍ باید دا بڼه ومني، ژر تر ژره په پیچ شوي چاپیریال کې پروسس بشپړ کړئ. د Accept-Encoding تنظیم کول یوازې د خبرو اترو عمل دی او باید یوازې د ثبوت په توګه ودریږي چې ناوړه ځواب بند شوی دی.

3.2 TLS / DNS درې High: د تایید څیز د اصلي هدف سره متناسب دی

ټول درې د اکتوبر په 21 افشا شوي، د رسمي لوړولو حد سره د 2.1. S1 برخه کې ټاکل شوي

پیژندونکیمسله تایید شوهاغیزمن شوي څانګې
CVE-2026-105482dns.resolve د نومونو قطع کول چې NUL لري22.x / 24.x / 26.x
CVE-2026-105483IP په بشپړ چوکۍ عددي بڼه د دې لامل کیږي چې د سند کوربه نوم تایید له پامه وغورځول شي24.x / 26.x
CVE-2026-106069کوربه نوم چې په نرمه توګه د IP په توګه تشریح کیدی شي د TLS تایید بای پاس کې پایلې لري22.x / 24.x / 26.x

DNS د ستونزې جوهر دا دی چې د پورتنۍ پرت لخوا چک شوی تار د هغه نوم څخه توپیر لري چې په حقیقت کې د ښکته پرت لخوا تجزیه شوی. رسمي پیچ NUL د پارس کولو ننوتلو کې ردوي او د راجسټریشن پوښښ اضافه کوي. S6

TLS دوه توکي د نوم نورمال کول، د IP تفسیر او د سند سره سمون لري. پیچ وکړئ ترڅو غیر معیاري IP ان پټ رد شي یا په سمه توګه اداره شي ترڅو د سند ډومین پیژندنې سره د اصلي IP پای ټکی ګډوډ نه شي. S5

د : لپاره د ستونزې حل کولو حقیقي وړاندیزونه د ترلاسه کونکي کارونکي URL، متحرک پراکسي هدف یا Webhook پته چک کولو ته لومړیتوب ورکوي؛ متحد معیاري کول او د لیست قضاوت ته اجازه ورکوي، د NUL/کنټرول حروف ردوي، قانوني IPv4، IPv6 او نړیوال شوي ډومین نومونه لاهم کار کوي. ایا SSRF نور هم رامینځته کیدی شي د لینک شواهدو غوښتنلیک ته اړتیا لري، کوم چې په مستقیم ډول د CVE نوم څخه اخیستل کیدی نشي.

د پوسټ اپ گریڈ چیکسم غلطیو له مینځه وړو لپاره NODE_TLS_REJECT_UNAUTHORIZED=0 یا rejectUnauthorized: false مه کاروئ. پته، سند او د سوداګرۍ ترتیب باید سم شي.

3.3 جولای HTTP/2 High - خطر او د اجازې ماډل مسلې

لاندې مسلې چې د جولای په میاشت کې افشا شوي لاهم باید په تحقیق کې شاملې شي. دا سپارښتنه کیږي چې په مستقیم ډول د اکتوبر امنیت نسخه بیس لاین 2.1 برخه کې د ځای پرځای کولو پرمهال وکاروئ. S7

CVEلاملونه او اغیزېلومړی ثابت نسخه
CVE-2026-56846ساتل شوی HTTP/2 header بلاک په سمه توګه د maxSessionMemory بودیجه کې شامل نه دی او کولی شي حافظه ختمه کړي؛ اغیزه 22.x / 24.x22.23.2 / 24.18.1
CVE-2026-56848HTTP/2 د پاکټ راټولولو په جریان کې د لیږلو لاره بیا ننوځي، چې د UAF د ډیریدو لامل کیږي؛ اغیزه 22.x / 24.x / 26.x22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043--permission د لارې مخکینۍ حد میچ خورا پراخه دی، او د اجازه شوي لیست څخه بهر فایلونو ته لاسرسی کیدی شي.د پورته دریو ساتنې لینونو په څیر

ټول درې په رسمي ډول High دي. لومړی دوه توکي د دې چک کولو ته لومړیتوب ورکوي چې ایا HTTP/2 پخپله د Node لخوا پروسس کیږي؛ دریم توکي یوازې ورته معنی لري کله چې د اجازې ماډل کاروي او په دې حد تکیه کوي. د اجازې ماډل توکي ټول نشي کولی د شبکې RCE په توګه تشریح شي چې تصدیق ته اړتیا نلري. S7

په لنډمهاله توګه په جلا، تازه شوي پراکسي کې د HTTP/2 لغوه کول او د بیک انډ سرچینو محدودول د افشا کولو کمولو لپاره د ځای پرځای کولو اختیار دی؛ د منابعو کوټې یوازې کولی شي د سرچینې د ختمیدو پایلې کنټرول کړي او نشي کولی UAF پیچ کړي.

3.4 اکتوبر React / Next.js: دوه توکي RCE او یو توکي DoS

A. RCE په RSC / use cache فنکشنونه د ټایپ شوي صفونو بیرته راګرځي

عامه نېټه: 2026-10-14; Critical، CVSS 4.0 9.5. رسمي مشورتي پیژندونکي:

  • React：GHSA-xqc2-xf4c-x3h3。
  • Next.js：GHSA-673q-mjm6-r5xr。S9S10

د React پورته مسله کې د برید کونکي کنټرول وړ ارزښتونو سره یوځای ډیری ټایپ شوي صفونه شامل دي RSC ځواب درې یې اغیزمن کړل react-server-dom-* د بسته نسخې دي 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; د څپرکي برخه وګورئ 2.1. خالص براوزر اړخ React ، یا هغه غوښتنلیکونه چې چوکاټونه/پلګ ان نه کاروي چې ملاتړ کوي RSC په هرصورت، د دې توکي په دائره کې مه راځی. S10

Next.js د ښکته جریان اعلان لیست 16.0.0 — 16.4.0 په کې بیاکتنه شوې 16.4.1 ; سناریو ده App Router , Cache Components ، او use cache هغه افعال چې ډیری ټایپ شوي سرې بیرته راګرځوي. هیڅ رسمي معتبر عمومي حل شتون نلري، او د اغیزمنو نسخو کاروونکي اړین دي چې په وخت کې لوړ شي. دا مناسبه نده چې یوازې د پروسس پای ته رسولو لپاره “دا فنکشن شتون نلري” لپاره په لاسي لټونونو تکیه وکړئ. S9

سرچینه: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. د ستونزه د اپ سټریم اصلي کتابتون کې رامینځته کیږي چې د عکس اصلاح کولو لپاره کارول کیږي. چارواکو په ګوته کړه چې د RCE خطر د glibc Linux سناریو کې شتون لري. S11

د رسمي نسخې ساحې دي:

  • >=10.0.0 <=15.5.27；
  • >16.0.0 <=16.4.0。

چارواکي د 16.x څانګې لپاره د >16.0.0 سخت ټیټ حد کاروي، مګر دا رینج بیان کافی نه دی چې ثابت کړي چې 16.0.0 خوندي دی. د ریښتیني لوړولو هدف په مساوي ډول 15.5.28 / 16.4.1 دی. S11

رسمي لنډمهاله حل دا دی چې ډاډ ترلاسه شي چې Next په حقیقت کې تیز ≥0.35.5 بار کوي. د فایلونو لاک کول، نیست شوي انحصارونه، او د پلي کولو عکسونه ممکن لاهم زاړه مثالونه وساتي، نو یوازې په پورتنۍ کچه د sharp انحصار نوې نسخه اضافه کول کافي ندي، د وروستي انحصار ونه باید وڅیړل شي او بیا جوړ شي. S11

C. Server Actions CPU ختم شوی

**GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.**Next اغیزه کوي 13.0.0—15.5.27, 16.0.0—16.4.0، د 15.5.28 حل کوي /16.4.1. شرایط App Router او لږترلږه یو Server Action دي؛ ناوړه غوښتنې کولی شي CPU د اوږدې مودې لپاره قبضه کړي، په ورته پروسې کې د راتلونکو غوښتنو مخه ونیسي. د Pages Router سره یا د Server Actions پرته غوښتنلیکونه پدې اغیزه نلري. S12

هیڅ رسمي کار شتون نلري چې د نوي کولو ځای ونیسي. د نرخ محدودیتونه، د موافقت محدودیتونه او د منابعو کوټې کولی شي زیان کم کړي، مګر د پیچ ​​تایید لپاره د پایلې په توګه نشي کارول کیدی.

3.5 پخوانۍ Next.js په ورته کړکۍ کې جدي ستونزه

لاندې توکي د ورک شوي ګمارنې څخه مخنیوي لپاره دي چې لاهم د اګست - سپټمبر دمخه نسخو کې پاتې دي؛ دا سپارښتنه نه کیږي چې اوس په جدول کې د زاړه فکس حد ته لاړشئ.

نیټهپیژندونکی / سناریولومړی اصلاح؛ اوسنی عمل
2026-08-25GHSA-2xp9-vwfh-vxw4: AVIF د انځور اصلاح اصلي کتابتون RCE, Critical15.5.24 / 16.3.3; اوس 15.5.28 / 16.4.1 S13
2026-08-25CVE-2026-75604: RCE، Critical کله چې Pages Router او App Router په Windows کې په ورته وخت کې کارول کیږي، او Cache Components فعال نه وي؛ نسخې >=13.4.0 <15.5.24، >=16.0.0 <16.3.315.5.24 / 16.3.3; لینکس/macOS د دې ځانګړي Windows مسلې S14 لخوا نه اغیزمن کیږي
2026-09-22GHSA-vcvr-r3jv-pc5j: په next/og کې د Node انځور تولید لاره بې اعتباره SVG، Critical پروسس کوي؛ 16.2.0—16.3.516.3.6; د Edge تطبیق د دې مسلې له ساحې بهر دی، او 15.x د دې RCE S15 لپاره اغیزمنه څانګه نه ده

4. Java ایکوسیستم: د چلولو باور، کانټینرونه او چوکاټونه په جلا توګه اداره کیږي

4.1 JDK: منظم CPU او CVE-2026-91403 دوه درجې تازه معلومات دي

د Java SE د خطر میټرکس لپاره Oracle CPU د اکتوبر په 20 لست 55 نوي امنیتي پیچونه، چې 49 یې د تصدیق پرته په شبکه کې د ګټې اخیستنې په توګه نښه شوي . دا پدې معنی ندي چې 55 شتون لري Critical ، او نه دا پدې معنی ده چې 49 په مستقیم ډول د استخراج وړ دي RCE د هر یو لپاره لارې Java ویب خدمت دا باید د اجزاو، APIs، د کاروونکي متقابل عمل او په میټریکس کې د ځای پرځای کولو شرایطو سره په ګډه پوه شي. S16

د بلې ورځې CVE-2026-91403 (CVSS 3.1 9.1) د بل ډول خطر سره معامله کوي: د eMudhra پیښې پورې اړوند د مینځنۍ CA یوه سیټ چې نور باور نلري. دا د TLS پییر تصدیق او د مخابراتو محرمیت / بشپړتیا اغیزه کوي او د JVM حافظې فساد زیانمنونکي په توګه نشي تشریح کیدی. S17

د Oracle مشورتي هغه نسخه لیست کوي چې د اکتوبر په 20 مه خپور شوی د اغیزمن کیدو په توګه، نو د اکتوبر په 21 نیټه د بډ څخه بهر تازه معلومات هم نصبولو ته اړتیا لري. د ځانګړي نسخې لپاره 2.2 برخه وګورئ. GraalVM هم اړونده اغیزمن شوي محصولات لري، او ثابت نسخه باید د دې ځانګړي امنیتي بلیټین تابع وي. S17S18

لنډمهاله رسمي اقدامات: لومړی بیک اپ کړئ، او بیا د هر ریښتیني کارول شوي ټرسټور څخه د ټاکل شوي روټ سند لرې کړئ:

  • emSign ECC Root CA - G3، Oracle عرف emsigneccrootcag3 [jdk].
  • AAA Certificate Services، Oracle عرف comodoaaaca [jdk]. S19

JDK 11 او وروسته، رسمي مثال دا دی:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

د دې کمانډونو لپاره د هدف JDKڅخهkeytool وکاروئ او تصدیق کړئ چې دوی د غوښتنلیک ریښتیني باور پلورنځي کې کار کوي. Java 8 د jre/lib/security/cacerts سره ورته لاره کاروي؛ د ټرسټور دودیز کول باید په جلا توګه اداره شي، او نور خپرونکي ممکن مختلف عرفونه ولري. د ریښې سند لرې کول به د رد کولو ساحه پراخه کړي ، او د راجسټریشن ازموینې مشروع خدمت سند زنځیرونه. S19

چارواکي د لغوه کولو چک کولو وړ کولو اختیار هم چمتو کوي، مګر اغیز د TLS په ریښتینې پلي کولو، د لغوه کولو خدماتو لاسرسي او ناکامۍ ستراتیژۍ پورې اړه لري. د عمومي ګمارنې لپاره ، د بشپړ پلورونکي تازه معلوماتو نصبولو ته لومړیتوب ورکړئ ترڅو د دوه JVM سویچونو درملنې څخه مخنیوی وشي د ثبوت په توګه چې ټول TLS کتابتونونه تنظیم شوي.

4.2 Tomcat: تصدیق بای پاس او د کراس کارونکي غوښتنه جلا کول

لاندې درې توکي په 2026-10-20 کې خپاره شوي؛ د ترمیم شوي نسخه ننوتل د October 12 نیټه ده. د Apache رسمي درجه Important ده. S21S22S23

CVEاغیزمن شوي نسخې تایید شوياړین سناریوګانې / پایلې
CVE-2026-1012969.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26JNDIRealm د غیر GSSAPI SASL تصدیق کولو میکانیزم تنظیموي، د اعتبار تصدیق ورک دی، او غلط پاسورډونه هم تیریږي
CVE-2026-1013569.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26د HTTP/2 د غیر متناسب سرویلټ تېروتنه اداره کول په غلط ډول د شیانو ریسایکل / بیا کارول ، د دې لامل کیږي چې غوښتنې یا ځوابونه د کاروونکو ترمینځ ګډ شي
CVE-2026-103119یوازې 11.0.0-M25—11.0.26 تایید کړئلوی AJP غیر بلاکیدونکي لیکنې کولی شي د بفر لاندې لوستلو لامل شي ، په وروستیو غوښتنو کې د پخواني ځواب ډیټا افشا کوي.

اړونده فکس دی 9.0.123 / 10.1.61 / 11.0.27؛ AJP یوازې د اعلان سره سم د Tomcat 11 په توګه لیست شوی، او د ورته ستونزې سره درې څانګو ته پراختیا نشي ورکولی. S21S22S23

د JNDIRealm پیچ د ریښتیني تصدیق پروسې کې د تایید تشه حل کوي ، چیرې چې “د غوښتنلیک د ننوتلو انٹرفیس نورمال ښکاري” د تایید پرځای نشي کارول کیدی. Realm، SASL میکانیزمونه باید د خدماتو اصلي ترتیب لپاره وڅیړل شي، او ازموینې باید د غلط پاسورډونو لپاره ناکام شي. S24

د لنډمهاله پلي کولو وړاندیزونه: د اغیزمن تصدیق کولو لاره جلا کړئ؛ د HTTP/2 د Tomcat پروسس ځنډول کله چې سوداګرۍ اجازه ورکوي؛ بې ګټې AJP بند کړئ. یوازې د AJP بندر ته د مستقیم لاسرسي محدودول دا نشي ثابتولی چې د قانوني مخ پراکسي له لارې ننوتل ترافیک به اغیزه ونلري. د رسمي تازه کولو وروسته، د دوو خپلواکو کاروونکو څخه غیر متناسب همغږي غوښتنې باید ازموینه وشي ترڅو دا تایید کړي چې د پیژندنې او ځوابونو ترمنځ هیڅ ډول خبرې شتون نلري.

سرچینه: 4.3 Spring for GraphQL：CVE-2026-59285

عامه نېټه: 20-08-2026; High. اغیزمن شوی 2.0.0—2.0.4، ترمیم شوی 2.0.5 (OSS) یا 2.0.4.1 (تجارتي ملاتړ). S25

دا د صفحې په پوښتنو کې د غیر خوندي غیر منظم کولو خطر دی. رسمي اړتیا دا ده چې لاندې شرایط باید په ورته وخت کې پوره شي:

  1. Spring for GraphQL وکاروئ.
  2. د جیکسن 2.x په کارولو سره JSON غیر منظم کړئ.
  3. بهرنۍ نړۍ ته د ارتباط پاڼې کولو ساحه چمتو کړئ.
  4. کلاسپاټ ځانګړي ټولګي لري چې کولی شي د انسټاګرام یا ډیسیریل کولو پرمهال غیر متوقع منطق ترسره کړي.

ناوړه GraphQL غوښتنه ممکن د RCE لامل شي کله چې شرایط پوره شي. دا نشي راټیټیدلی شي “د جیکسن په کارولو سره ټول Java پروګرامونه کارول کیدی شي”. S25

ولې 2.0.4 کافي نه دی: په جون کې، CVE-2026-41699 د پیچ بیس لاینونه لکه 2.0.4 ورکړي وو، او د اګست په میاشت کې اعلان په واضح ډول د 2.0.4 نفوذ نوي سکوپ کې شامل کړ. له همدې امله، د ترمیم ریکارډ باید د راتلونکو اعلانونو سره سم تازه شي، او د زاړه CVE لږترلږه نسخه نشي کارول کیدی. S26

کله چې اپ گریڈ په لنډمهاله توګه شتون نلري، د بې اعتباره زنګ وهونکو ته د لاسرسي وړ د مخ کولو ساحې اغیزمن کیدی شي وځنډول شي؛ د بې ځایه کیدو وړ ډولونو او ټولګیو لارو لنډول یو ژور اقدام دی. ریګریشنونه باید قانوني کرسرونه، مخ شوي پایلې، او د استثنایی ان پټ ردولو پوښښ وکړي، او د وروستي غوښتنلیک JAR کې د اصلي برخې نسخې وګورئ.

4.4 Spring Security: CVE-2026-59270 او اړوند تصدیق خطرونه

CVE-2026-59270, 2026-08-20, Critical. سرایت شوی UnboundIdContainer د ډیفالټ لخوا پیژندل شوي مدیر اسناد ثبتوي او په ټولو شبکو انټرفاکسونو کې اوري. کله چې برخه فعاله شي او بندر د لاسرسي وړ وي، برید کونکی کولی شي د لارښود ډاټا لوستل یا بدل کړي؛ هغه پروژې چې عموما Spring Security معرفي کوي به په اتوماتيک ډول LDAP افشا نه کړي. S27

اغیزمنه سیمه:

څانګهاغیزمن شویلومړی فکس / استملاک چینل
7.17.1.07.1.1 OSS; همدارنګه سوداګریز 7.1.0.1
7.07.0.0—7.0.67.0.7 OSS; همدارنګه سوداګریز 7.0.6.1
6.5 / 6.46.5.0—6.5.11；6.4.0—6.4.186.5.12/6.4.19، تجارتي
5.8 / 5.75.8.0—5.8.27；5.7.0—5.7.255.8.28/5.7.26، تجارتي

سرچینه: S27. د spring.ldap.embedded.* اتوماتیک ترتیب او مستقیم انسټیټیوټ کوډ ستونزه حل کړئ؛ اجزا وتړئ کله چې تولید ته اړتیا نه وي، او د اوریدلو اصلي پته وګورئ. کله چې سوداګرۍ واقعیا ورته اړتیا لري ، لومړی د زنګ وهلو سرچینې محدود کړئ او بیا د برخې اپ گریڈ بشپړ کړئ.

د تصدیق کولو اړوند مسله: CVE-2026-47841 ( High ). WebAuthn د کارونکي تصدیق ټاکل شوی REQUIRED ، او وروسته HTTP سیشن د توزیع شوي ذخیرې لخوا سیریل شوی ، د اعتراض پیژندنې غلط پرتله کول ممکن د تصدیق اړتیا باطله کړي. برید هم د برید کونکي ته اړتیا لري چې د کارونکي تصدیق کونکي وسیله ولري ، نه د وسیلې پرته په خپل سري ریموټ ننوتل. د اړوندو اغیزمنو نسخو لپاره 7.1 , 7.0 , 6.5 ، او 6.4 د پیچ ​​اساسی کرښه په پورتني جدول کې د دې څانګو سره مطابقت لري؛ تایید باید د کراس نوډ ناستې پوښښ وکړي او لاهم د PIN/بایومیټریک تصدیق ته اړتیا لري. S28

5. Python ایکوسیستم: ترجمان، معیاري کتابتون، چوکاټ او سندونه

5.1 CVE-2026-19445: SSLContext UAF په SNI کال بیک کې

د خپرولو نېټه: 2026-09-30; د PSF کچه: Critical. Python سرور TLS کې، sni_callback بل SSLContext ته ارتباط بدلوي، او کله چې اصلي شرایط شتون نلري غیر مستند TLS پیرودونکی ممکن خدمت خراب کړي یا په خوشې شوي اعتراض کې پوائنټر ته زنګ ووهي. S29

اصلي خبره دا ده چې د Python څیز د TLS کال بیک ژوند دورې سره متناسب دی. اصلي شرایط خوشې شوي، او لاندې پرت ممکن لاهم د کال بیک لپاره اړین حالت وساتي؛ د ژباړونکي اصلي پیچ باید د حوالې د ژوند دورې د سمولو لپاره وکارول شي. S47

Scope: Python کوډ چې یوازې د TLS پیرودونکي په توګه کار کوي د دې توکي لخوا نه اغیزمن کیږي. د اوریدلو ساکټ نورمال حالت د اوږدې مودې لپاره اصلي شرایط ساتي په اعلان کې تشریح شوي ځانګړي ناکامي لارې ته نه راځي. وروسته له دې چې نګینکس TLS پای ته رسوي، دا یوازې HTTP ته Python ته ورکوي، او Python په مستقیم ډول پخپله SNI اداره کوي، کوم چې د مختلف برید سطح دی. S29

د 3.10—3.14 فکس شوي نسخې سره په مطابقت کې، برخه وګورئ 2.3. د 3.15 رسمي نسخه ترمیم شوې، او 3.15.1 په حقیقت کې غوره کیدی شي. یوازې د pip انحصار تازه کول نشي کولی د ژباړونکي _ssl تطبیق بدل کړي. S33S35S47

رسمي لنډمهاله تخفیف: ټولو SSLContext ته قوي حوالې ساتي چې د سرور د ژوند دورې پای پورې د SNI کال بیک ترتیب کړی. دا د ریښتیني متحرک رامینځته کولو او بدلولو لارې پوښلو ته اړتیا لري؛ دودیز OpenSSL 1.1.1 جوړ باید د رسمي مسلې ریکارډ سره په ګډه د بیا خبرو شرایط هم وګوري او بشپړ تازه معلوماتو ته لومړیتوب ورکړي. S29S47

5.2 CVE-2026-19553: د کوربه نوم بیرغ فعال شوی، مګر د زنګ وهلو پر مهال کوربه نوم ورک دی

عامه نېټه: 2026-09-30; High. کله چېSSLContext.check_hostname=True، که wrap_bio() په server_hostname کې نه تیریږي، اصلي تطبیق ممکن په خاموشۍ سره د کوربه نوم تایید پریږدي. د بریالي سند سلسلې تایید پدې معنی ندي چې د هدف ډومین نوم هم ورته شوی. S30

درملنه دواړه مرحلو ته اړتیا لري:

  • د 2.3. برخه کې لیست شوي ژباړونکي امنیت ریلیز نصب کړئ
  • د wrap_bio()، اړوند asyncio.create_connection() / loop.start_tls() لارې وګورئ، په واضح ډول په تمه شوي او غیر خالي کوربه نوم کې تېر کړئ، او د سند تصدیق فعال وساتئ. S30

**مطابقت توپیرونه چې له مینځه وړل کیدی نشي:**3.10، 3.11، 3.12 د مطابقت لپاره دي، یوازې DeprecationWarning د ځینو قضیو لپاره صادر شوي چیرې چې کوربه نوم ورک دی؛ 3.13 او وروسته ValueError پورته کړئ. 3.12 بیک پورټ هم په روښانه ډول د خالي تارونو څخه None توپیر کوي: د None لپاره نوی خبرداری اضافه شوی، او د خالي تارونو لپاره یوه تېروتنه لاهم راپور شوې. له همدې امله، د ټیټې څانګې کاروونکي نشي کولی داسې انګیرل شي چې د اصلي ورک شوي ډومین نوم تایید په اتوماتيک ډول د نوي کولو له لارې بیرته راستانه شوی. S31S33

د ازموینې په چاپیریال کې، د باور لرونکي چینې سند د بې مطابقت شوي کوربه نوم سره وکاروئ او تایید کړئ چې اصلي غوښتنلیک TLS پیرودونکي دا ردوي. یوازې د check_hostname بولین ارزښت لوستل د بشپړ منلو نه تشکیلوي.

5.3 CVE-2026-82049: د ټرفیل فلټر کې د لینک ترکیب بای پاس

عامه نېټه: 2026-09-14; High . په CPython 3.13 او مخکیني اړوند تطبیقونه، په بې باوره ټار کې د سختو اړیکو او سمبولیک لینکونو ترکیب کولی شي له دې څخه تیر شي. data / tar د استخراج فلټر، د پیک کولو ونې کې د پیک کولو لارښود څخه بهر د فایلونو مینځپانګې افشا کول ، یا د دوی اجازې او ترمیم وخت بدلول. S32

د دې زیانمننې تایید شوي اغیزې د فایل مینځپانګې افشا کول او د میټاډاټا ترمیم شامل دي؛ دا اغیزې یوازې د دې لپاره کافي ندي چې د بهرني فایل مینځپانګې په خپل سري ډول لیکل یا د RCE غیر مشروط پلي کول وښیې.

For the corresponding patch baselines of 3.10—3.13, see Section 2.3. Python 3.14 has been exempted from this specific issue due to os.link() behavior changes since 3.14.0b1، نو د 3.10—3.13 د پورتنۍ څانګې اغیزمنه ساحه نه پلي کیږي. S33

لنډمهاله او ژور اقدامات: د بې اعتباره آرشیفونو اتوماتیک استخراج وځنډوي؛ د جلا کم امتیاز کارګر پروسې او نوي ځانګړي لارښودونه وکاروئ کله چې سوداګرۍ باید پروسس شي ، سمبولیک لینکونه ، سخت لینکونه او د سوداګرۍ لخوا د وسیلې ننوتل رد کړئ ، او د فایلونو شمیر محدود کړئ او د کمپریشن سرچینې. دا د ګمارنې سپارښتنې دي.

filter="data" د بشپړ باور ستراتیژۍ په پرتله د عمومي بې باوري آرشیفونو لپاره خورا مناسب دی ، مګر پخپله په زاړه نسخه کې فلټر هم دا زیان لري ، او یوازې د دې پیرامیټر اضافه کول نشي کولی تازه ځای په ځای کړي. فلټر هم د بشپړ فایل سیسټم سینڈ باکس نه دی. S32S45

5.4 اضافي خطر: CVE-2026-114583 (Medium) او د پیچ خوشې کولو حالت

PSF په 2026-10-22 کې افشا شوي چې د tarfile.tar_filter د ځانګړي لینک نومونو پروسس کول له پامه غورځول کیدی شي ، چې وروسته غړو ته اجازه ورکوي چې د بسته بندۍ لارښود څخه بهر د یوې کچې سره ولیکي. Medium. رسمي فکس PR په هغه ورځ یوځای شو؛ د اکتوبر 23، 2026 پورې، د دې ژمنې سره د ساتنې کوم رسمي خوشې کول تایید شوي ندي. S40

نو ځکه:

  • دا توکي په جلا توګه د Medium په توګه لیست شوي.
  • د ژباړونکي نسخې چې د اکتوبر په 21 خپور شوي د دې فکس شاملولو په اړه فکر نه شي کولی.
  • هغه پروسه چې لاهم د بې باوره آرشیفونو اداره کولو لپاره filter="tar" کاروي باید د خوشې کولو بیک پورټ تعقیب کړي؛ د دې پروسس کولو لاره د لنډې مودې لپاره جلا یا وځنډول. کله چې data ته لاړ شئ او لینکونه رد کړئ، تاسو باید دا هم تایید کړئ چې دا د سوداګرۍ اړتیاوې پوره کوي، او د فلټر بدلول د غیر مشروط سینڈ باکس په توګه نشي تشریح کیدی.

5.5 GeoDjango: CVE-2026-15307 او ورپسې په اکتوبر کې اصلاحات

2026-08-04, Django رسمي High. ځایي پوښتنه په ښکاره ډول GDALRaster ته ځینې تارونه/ قاموسونه لیږدوي، او چلوونکی ممکن په شبکه کې د فایلونو لیکلو غوښتنه وکړي. RCE کیدی شي رامینځته شي کله چې مشخصې لارې او وروسته د اجرا شرایط شتون ولري. د ځایي ساحې ماډل لیدو اجازې سره کارمندان ممکن د مدیر بدلون لیست له لارې دې لارې ته لاسرسی ومومي. S38

لومړنی فکس 5.2.17 / 6.0.8 دی، کوم چې د ځایي لټونونو لخوا منل شوي ان پټ ډولونه محدودوي. دا بدلون ممکن د راسټر څرګندولو لپاره د تار / لغت کارولو اصلي سوداګرۍ اغیزه وکړي؛ په ساده ډول په GDALRaster کې د بې باوره آخذو لپاه کول د دې تصدیق کولو معنی نلري. S38

د اکتوبر په شپږمه CVE-2026-87890 (اعتدال) ترمیم شوی: VRT په بایټ کې څرګند شوی کولی شي بهرنۍ سرچینې حواله کړي او لاهم د شبکې غوښتنې رامینځته کوي. په همدې ورځ، د nested هندسي DoS د ساتنې CVE-2026-15830 هم پياوړی شو. وروستنۍ دوه نشي کولی د نوي لوړ خطر تشریح کولو لپاره لوړ شي RCE ، مګر دا په ګوته کوي چې د ځای پرځای کولو اساس باید وي 5.2.18 / 6.0.9 / 6.1.2 . S39

تطبیق د API او ادارې انٹرفیس دوه د ننوتلو نقطې چک کوي، د بې باوره ځایي لټون، د فایل لیکلو اجازه او بهر ته لاسرسی محدودوي؛ د تازه کولو وروسته، د ریګریشن ازموینه د اعتبار وړ ځایي پوښتنو او د منع شوي ان پټ رد کول. عادي Django غوښتنلیکونه چې GeoDjango نه کاروي باید په مستقیم ډول د دې RCE پایله پلي نه کړي.

5.6 certifi / pip: د سند باور باید هره کاپي پوښي

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical ، پیژندل شوی CVE لیست شوی نه دی. دا د سند بې باوري تازه دی چې له امله رامینځته شوی eMudhra منځنی CA پیښه دا د HTTPS د کریپټوګرافي میکانیزم په توګه لنډیز نشي کیدی یا دا چې ټول روټ سندونه مات شوي دي. S36

د certifi مشورې په اصل کې 2026.10.18 د پیچ په توګه لیست شوي؛ PSF وروسته په ښکاره ډول 2026.10.19 د غیر اغیزمن شوي روټ سندونو سره مطابقت ساتلو لپاره وړاندیز وکړ. عملیاتي اساس .19 دی. S36S37

توپیر ته اړتیا لري:

د مادي موقعیت باورولې تاسو اړتیا لرئ په جلا توګه وګورئ
عملیاتي سیسټم CA بستهد عکس یا کوربه لپاره د سیسټم باور توکي
certifi په venv کېCA bundle په حقیقت کې د غوښتنلیکونو یا غوښتنو وغيره لخوا کارول کیږي.
pip جوړ شوی certifiد خارجي نصب شوي certifi څخه یو مختلف کاپي دی
uv / د بسته بندي نور وسایلد وسیلې خپل تازه معلومات او باوري سرچینې تعقیب کړئ
دودیز شوي CA فایلونه، بسته شوي سنیپ شاټونهکیدای شي د سیسټمونو یا کڅوړو لپاره د ډیفالټ باوري سرچینو بیرته راګرځولو ته دوام ورکړي

پورته یو چک لیست دی چې د مختلف بسته کولو ځایونو پراساس دی. PSF د اړوندو وسیلو تازه کولو، موجوده مجازی چاپیریال او د عکس بیا رغولو ته اړتیا لري؛ یوازې د کوربه CA تازه کول یا د ژباړونکي بیا نصب کول نشي ثابتولی چې ټولې کاپي تازه شوي. S35S37

کله چې د زوړ pip خوندي بوټسټریپ څخه نوي کول ، PSF د فکس شوي ویل او SHA-256 لپاره کمانډونه چمتو کوي ، ضمیمه S37 وګورئ. د TLS تایید مه بندوئ یا د سند مسلو څخه د تیریدو لپاره --trusted-host اضافه کړئ.

6. د درملنې رسمي پروسه

لاندې کمانډونه د باوري باوري چاپیریال لپاره دي. د اجرا کولو په وخت کې، د موجوده بسته بندۍ مدیر، د بند فایل او د پروژې پلي کولو پروسه باید یوځای شي ترڅو د npm/pnpm/yarn یا pip/uv/Poetry سره د متضاد لاک فایلونو رامینځته کولو مخه ونیسي.

لومړی یو استثنا اداره کړئ: که تاسو شک لرئ چې چاپیریال په 9 برخه کې جوړ شوی کڅوړه پرمخ وړي، لومړی یې جلا کړئ او د پاک چاپیریال څخه ډیسک، لاک فایل او د عکس ریکارډ وګورئ؛ لومړی لاندې Python/pip کمانډ مه چلوئ. S41

6.1 یو لیجر رامینځته کړئ چې د ریښتیني ترافیک سره مطابقت ولري

هر خدمت لږترلږه ثبتوي:

  • د بهرنۍ ننوتلو نقطه، ریورس پراکسي، اصلي سایټ ته د مستقیم ارتباط لاره، او د شالید کتار / مهالویش شوي دندې.
  • د اصلي پیل کولو قومانده، د چلولو حساب، بائنری لاره، پروسې یا کانټینر پیژندنه.
  • د چلولو بشپړ نسخه، خپرونکی / ذخیره، د بسته بشپړ نسخه، یا د عکس هضم.
  • چوکاټ او انتقالي انحصار، لاک فایلونه، اصلي کتابتونونه، او د باور ذخیره کولو لارې.
  • د دې سره مطابقت لري چې ایا د زیان مننې حالت شتون لري، د پیچ هدف، د بیا پیل کولو ساحه، مسؤل شخص او د تایید پایله.

د پراختیا ماشینونه، د CI چلونکي، د کانټینرونو جوړول، او د شالید دندې هم باید د دوی د لارو سره سم د باور وړ منځپانګې ته چک شي؛ یوازې د عامه مخ ویب کانټینر تازه مه کوئ.

6.2 Node.js: لومړی د چلولو وخت وټاکئ، بیا د غوښتنلیک انحصار تازه کړئ

د حقیقي خدماتو چاپیریال کې وګورئ:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p باید د خدمت د حقیقي اجرا وړ یا په ریښتیني کانټینر کې په کارولو سره اجرا شي؛ دا د نویو پیل شویو پروسو لپاره چک کوي او پخپله دا نه ثابتوي چې پخوانی کارګر بدل شوی. Node کولی شي پیچ په جوړ شوي Brotli کې اضافه کړي پداسې حال کې چې د اصلي کتابتون نسخه تار ساتي. له همدې امله، یوازې په process.versions.brotli باندې تکیه مه کوئ ترڅو معلومه کړي چې ایا دا ترمیم شوی. تاسو باید دا د Node امنیت نسخه یا د پلورونکي بیک پورټ شواهد سره یوځای کړئ. S2S4

npm ls د حقیقي انحصار ونې لیدلو لپاره کارول کیږي؛ ورک شوي کڅوړې یا د ملګرو شخړه ممکن غیر صفر وتلو کوډونه هم تولید کړي ، نو تاسو باید ځانګړي محصول ولولئ. npm audit د انحصار چک کولو مرستې په توګه کارول کیږي او نشي کولی د Node بائنری او اصلي کتابتون چیکنګ بدل کړي.

د Node 24چاپیریال اداره کولو لپارهmise وکاروئ، کوم چې په لاندې ډول تازه کیدی شي:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g نړیواله نسخه ترتیبوي؛ د پروژې محلي ترتیب اوس هم باید په جلا توګه وڅیړل شي. که خدمت پخوانۍ مطلقه لاره، د کانټینر بیس انځور، یا د بل حساب چاپیریال حل کړی وي، اړونده ترتیب باید تازه شي او خدمت باید بیا پیل شي. قومانده پخپله د زاړه روان پروسې ځای نه نیسي. S43

په Next پروژه کې، د ټاکل شوي څانګې سره سم ورته کمانډ اجرا کړئ. د Next 15 لپاره:

# Next 15 分支
npm install --save-exact [email protected]

د Next 16 لپاره:

# Next 16 分支
npm install --save-exact [email protected]

د React/RSC مطابقت لرونکي انحصارونه چیک کړئ، فایلونه لاک کړئ او وروستی تیز مثال، او بیا د پروژې پروسې سره سم جوړ کړئ. د بیا تولید وړ نصبولو لپاره په CI کې تازه شوي لاک فایل وکاروئ ، او د جوړیدو وروسته په روان عکس کې نسخه چیک کړئ. د دې بیړني حالت لپاره د ډیفالټ حل په توګه په لویو نسخو کې غیر کنټرول شوي اتوماتیک ترمیم مه کاروئ.

6.3 Java: خپرونکی تایید کړئ، اصلي JVM او سرایت شوي برخې

ابتدايي فهرست:

java -XshowSettings:properties -version

په محصول کې java.home، java.runtime.version او خپرونکی باید د JVM سره سمون ولري چې واقعیا د خدمت لخوا کارول کیږي. د ضمیمه اجازې سره د JVM لپاره، د JDK jcmd د هدف پروسې چک کولو لپاره کارول کیدی شي، نه یوازې د ننوتلو شیل.

په باوري پروژو کې انحصار چیک کړئ او د اصلي جوړونې وسیلو پراساس غوره کړئ:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

د دې جوړونې کمانډونه ممکن پلگ ان اجرا کړي او آنلاین انحصار حل کړي ، او یوازې په باوري پروژو پرمخ وړي. په عکس کې وروستی JAR/WAR یا ریښتیني JAR وګورئ او د وروستي هنري اثار لپاره د جوړولو فایل اعالمیه مه بدلوئ. Spring بوټ سرایت شوی Tomcat د غوښتنلیک بیا جوړولو ته اړتیا لري؛ په سیسټم کې د جلا Tomcat نصب کول به د غوښتنلیک کڅوړه کې کاپي بدل نه کړي.

وروسته له دې چې د رن ټایم تازه شو ، دودیز شوي javax.net.ssl.trustStore ، د غوښتنلیک پخپله بار شوي کیسټور ، jlink رن ټایم ، GraalVM / اصلي عکس او نور تحویلي فورمې توکي د توکي په واسطه چیک کړئ. هغه غوښتنلیکونه چې دمخه دودیز باور لرونکي توکي لري نشي کولی چیک پای ته ورسوي ځکه چې د JDK لارښود نوی کیږي.

6.4 Python: د ژباړونکي لخوا ژباړونکي او د مجازی چاپیریال پروسس کول

د ریښتیني وینو / کانټینر دننه د باور وړ تصدیق شوی:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

دا سکریپټ یوازې معلومات راټولوي او د نسخې وړتیا پریکړه نه کوي. ssl.get_default_verify_paths() د ډیفالټ لارې معلومات دي او نشي ثابتولی چې ټول دریم اړخ پیرودونکي ورته باور پلورنځي کاروي؛ دا باید د غوښتنلیک ترتیب پراساس تایید شي.

د S37 ضمیمه د باوري pip بوټ اپ گریڈ بشپړولو وروسته، د پروژې محدودیتونو سره سم د سند انحصار تازه کړئ، د بیلګې په توګه:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

د پروژې اړتیاوې/لاک فایل باید په ورته وخت کې تازه شي، که نه نو راتلونکی ګمارل ممکن زاړه نسخه ته راستون شي. کله چې uv، شاعري، یا د تصدۍ کڅوړې ذخیره وکاروئ، د دوی موجوده بندولو او خپرولو پروسې وکاروئ؛ یوازې د تولید کانټینر کې کڅوړې په لاسي ډول مه بدلوئ.

د پروژې موجوده pip-audit کاري فلو په باوري چاپیریال کې د پیژندل شوي انحصاري زیانونو د چک کولو لپاره کارول کیدی شي؛ دا د ناوړه کوډ سکینر نه دی او ټول ژباړونکي، سیسټم کتابتون او د باور ذخیره خطرونه نه پوښي. S44

I دا سپارښتنه نه کیږي چې سیسټم /usr/bin/python3 مجبور کړي چې نوي تالیف شوي نسخې ته اشاره وکړي. د خوشې کولو امنیت تازه معلومات یا د پروژې جلا کولو وختونه وکاروئ ترڅو د مدیریت وسیلو ماتولو مخه ونیسي چې په سیسټم Python تکیه کوي. دا د تطبیق انتخاب دی او د دې زیان مننې لپاره اضافي اړتیا نه ده.

6.5 د چلولو مثال بیا جوړ او ځای په ځای کړئ

دا سپارښتنه کیږي چې لاندې ګامونه د بشپړ بدلون په توګه واخیستل شي:

  1. پیچ د اصلي باوري سرچینې څخه ترلاسه کړئ او نسخه/هیش او د انحصار لاک خوندي کړئ.
  2. د نږدې تولید چاپیریال کې کلیدي دندې بیرته راګرځئ او تایید کړئ چې اصلي توسیعونه د JVM/ چوکاټ سره مطابقت لري.
  3. د چلولو وخت، د غوښتنلیک انحصار او د حقیقي باور ذخیره تازه کړئ؛ د کانټینر لپاره د بیس عکس او سیسټم CA تازه کړئ، یوازې پخوانی پرت بیا مه کاروئ.
  4. غوښتنلیکونه او عکسونه بیا جوړ کړئ، او خدمت، کارګر، کتار مصرف کونکي، او ټاکل شوي کاري مثالونه په رولینګ اساس بدل کړئ.
  5. په نوي روان مثال کې نسخه او تشکیلات بیا چیک کړئ او تایید کړئ چې ټول زاړه کاپيونه وتلي دي.
  6. د تېروتنې نرخونه، ځنډ، CPU/میموري، TLS لاسوهنې ناکامۍ، او د پروسې حادثې وګورئ.

رول بیک باید د خوندي رن ټایم او پیچ انحصار ساتلو ته لومړیتوب ورکړي ، او د غوښتنلیک ترتیب یا د سوداګرۍ بدلونونو بیرته راوګرځوي. که تاسو اړتیا لرئ د زیان منونکو سره زاړه محصول ته بیرته راشئ ، د ننوتلو اړوند محدودیتونه باید په ورته وخت کې بحال شي ، او مسؤل کس او لږترلږه د رغیدو موده باید په روښانه ډول تعریف شي.

7. لنډمهاله کمول او پیچ انتخاب

7.1 د لنډمهاله اقداماتو د پوښښ حد

لاندې د اعلان شوي کارونې شرایطو پراساس د پلي کولو وړاندیزونه دي. پرته لدې چې رسمي پلان یادونه وشي ، پلورونکی تضمین نه کوي چې ټول ډولونه په بشپړ ډول بلاک کیدی شي.

خطرلنډمهاله اقدامات چې اخیستل کیدی شيهغه برخه چې د دې پر بنسټ بشپړه شوې نه ګڼل کیږي
Brotli کوډ کولد بې باوره ان پټ کوډ کولو مخه ونیسئ؛ دننه او بهر ته اتوماتیک ډیکمپریشن چیک کړئدننه WAF یا د غبرګون کمپریشن بندول د کوډ کولو ټولې ننوتنې نه پوښي S3
Next.js typed arrays RCEسمدستي لوړ کړئ؛ که اړتیا وي په موقتي توګه اغیزمن شوي خدمتونه جلا کړئد S9 په اړه هیڅ رسمي معتبر نړیوال حل شتون نلري
Next.js SVG RCEرسمي پلان: د ریښتیني تیز ≥0.35.5 ډاډ ترلاسه کړئ؛ کله چې د سوداګرۍ اجازه ورکړل شي اړونده مطلوب د ننوتلو نقطې وځنډوينور Next/RSC مسلې نه پوښي S11
Tomcat Realm / HTTP/2 / AJPاړونده لاره جلا کړئ او غیر ضروري نښلونکي وتړئلاهم د اړونده څانګې ترمیم کڅوړې ته اړتیا لري S21S22S23
GraphQL Deserializationد اغېزمن پیوستون ساحې وځنډول؛ بې باوره زنګ وهونکي محدود کړئیوازې د غوښتنې اوږدوالی حد نشي کولی د ډول / ډیسیریل کولو ستونزه S25 حل کړي
Spring embedded LDAPکله چې اړتیا نه وي غیر فعال کړئ؛ د ریښتیني اوریدلو بندر لاسرسی محدود کړئد ډیفالټ اداري هویت او ډایرکټر بشپړتیا لاهم د S27 چک کولو ته اړتیا لري
CPython SNI UAFرسمي پلان: اړونده SSLContext د خدمت پای ته رسیدو پورې قوي حواله وساتئټولې د جوړولو/سوئچ لارې باید د S29 پوښل شي
Python کوربه نوم پریښودلرسمي حل: تمه شوي سرور_هوسټ نوم په سمه توګه تیر کړئنشي کولی یوازې د check_hostname بیرغ وګوري یا خبرداری له پامه غورځوي S30S31
بې اعتباره تورهغیر ضروري / قرنطین استخراج ، غیر ضروري لینکونه او د وسیلې ننوتل رد کړئنه فلټرونه او نه د منابعو کوټا یونیورسل سینڈ باکسونه دي S32S40S45
د سند باور پیښهسم CA مواد تازه کړئ؛ Java باور د رسمي کمولو له مخې محدود کیدی شيد TLS تایید غیر فعال کول S19S37 خطر زیاتوي

7.2 د تحویلي میتود پراساس پیچ غوره کړئ

د سپارلو طریقهد ترمیم میتودونو ته لومړیتوب ورکړئهغه شواهد چې باید وساتل شي
د توزیع مدیریت شوی وختد جوړونکي اړوند امنیتي تازه معلوماتد بشپړ کڅوړې نسخه، اعلان، د ذخیره کولو سرچینه
رسمي بائنری / د چلولو مدیرله همدې څانګې څخه رسمي امنیت خوشې شونسخه، سرچینه او هضم، د حقیقي اجرا کولو لاره
پخپله تالیف شوی Node / CPythonد سمون څانګې رسمي سرچینې خوشې کول یا د پلورونکي بشپړ پیچ سیټد ژمنې ترتیب، د پیرامیټونو جوړول، انحصاري کتابتونونه او د بیاکتنې پایلې
Spring / Next / Djangoد څانګې دننه تازه معلوماتو سره مطابقت لري ، د انحصار لاکونو بیا رغول او وروستي غوښتنلیکونهد انحصار وروستۍ ونې، په JAR / بسته / انځور کې اصلي نسخه
د ګمرک باور پلورنځید وتلو رسمي پلان یا د پلورونکي تازه کول د وتلو تصدیق کويد حقیقي کارونې لاره، د موادو بدلون، TLS بریالیتوب او د رد کولو ازموینې
یو جوړ شوی چاپیریالد پاکو او باوري محصولاتو څخه بیا رغول او د جلا پیښو تحقیقات ترسره کولتاریخي کڅوړه/عکس هضم، د نصبولو ریکارډ، د اعتباري گردش ریکارډ

7.3 د کلیدي پیچ میکانیزم او بیاکتنې تمرکز

  • Brotli: دې ته پاملرنه کوي چې ایا د ودانۍ د ننوتلو دمخه د اصلي کوډ کولو حالت د حدود چیک او غلطۍ بیرته راستنیدل بشپړ شوي دي؛ یوازې د JavaScript کڅوړې ځای په ځای کول نشي کولی په Node کې په ثابت ډول ترتیب شوی کوډ بدل کړي. S4
  • Node DNS / TLS : د ننوتلو ردولو، پته نورمال کولو، تر منځ توپیر باندې تمرکز کوي IP SAN او DNS پیژندنه، او DNS کال بیک/ وعده د پارسینګ لاره او TLS د کوربه نوم میچ ټیسټ. S5 S6
  • Tomcat JNDIRealm: په دې تمرکز کوي چې ایا د تصدیق پروسه واقعیا اعتبار تاییدوي ، نه یوازې د لارښود شرایطو ترلاسه کولو پرځای؛ رسمي نسخې ته لومړیتوب ورکول او د یوې سرچینې فایل بدلولو سره د بشپړ بائنری پیچ په توګه چلند نه کول. S24
  • CPython ssl: د Python حواله ملکیت او د زیرمو SSLContext ژوند دوره تمرکز کوي؛ wrap_bio() بیک پورټ کوي پداسې حال کې چې د څانګې مطابقت توپیر لري، او تاسو باید د کارول شوي څانګې ریښتیني تطبیق ولولئ. S31S47
  • Certificate distrust: دا ډول تازه معلومات ممکن د باور وړ موادو په توګه څرګند شي یا د واضح API بدلونونو پرځای د لیست بدلونونه رد کړي. د Node په ورته ډله کې د اغیزمن شوي منځګړیتوب CA ردولو میکانیزم هم شامل دی؛ د Java او Python اړوند باوري سرچینې لاهم په جلا توګه تایید ته اړتیا لري. S19S37S46

خپلواک Brotli پابند هم باید وڅیړل شي. د ګوګل اپ سټریم خپور شو 1.0.10 / 1.1.1 / 1.2.1 په هماغه ورځ د سمولو لپاره CVE-2026-111497 . Python اصلي غزول یا د JNI اثار چې ورته اغیزمن شوي C پلي کولو ته اړتیا لري په خپلواکه توګه نوي/بیا جوړ شي؛ دا نشي اټکل کیدی چې ټول پاک دي Java کوډ کونکي اغیزمن شوي، او نه دا فرض کیدی شي چې اپ گریڈ Node په اتوماتيک ډول په نورو ژبو کې کاپي بدلوي. S42

8. تایید او تعقیبي چکونه

8.1 لږترلږه د تایید چک لیست

توکي چک کړئشواهد اړین دي
منډې وختبشپړ نسخه یا د پلورونکي بیکپورټ شواهد په ریښتیني پروسې / کانټینر کې سم دي
د غوښتنلیک انحصارNext/RSC/sharp، Tomcat/Spring، او Django/certifi په وروستي ګمارلو محصولاتو کې ورته حد ته رسیدلي دي
د بدلولو لړۍټول کارګر/JVM/کانټینر کاپي او د شالید دندې د نوي سره ځای په ځای شوي ، او زاړه مثالونه وتلي دي.
TLSد اعتبار وړ ډومین سندونه بریالي شوي؛ نامناسب کوربه نومونه او ناسم زنځیرونه د پالیسۍ له مخې ناکام دي؛ د ګمرک باور پلورنځي شامل دي
eMudhra بې باوريد اغیزمن شوي منځګړیتوب CA لخوا رامینځته شوی د سند سلسله د ریښتیني وخت په جریان کې رد شوې ، یا داسې شواهد شتون لري چې د ځانګړي پلورونکي امنیت جوړونې / ورته رد کولو لیست ځای په ځای شوی؛ قضیه د عمومي TLS ازموینې یا Java 8 لنډ نسخه شمیرې پراساس نشي تړل کیدی.
Node کوډ کول او انځورونهنورمال کمپریس شوی ځواب ، اپلوډ ، د عکس اصلاح کول او RSC دندې شتون لري؛ د بې باوره سرچینې پالیسي په عمل کې ده
Java تصدیق او جلا کولغلط پټنوم رد شوی؛ د خپلواک کارونکي همغږي غیر متناسب غوښتنې پرته له پیژندنې / ځواب سره مخلوط کول؛ LDAP اوریدل لکه څنګه چې تمه کیږي
Python SNI / آرشیفنورمال څو ډومین نوم TLS سوداګرۍ مستحکم دی؛ آرشیف د لارې تګ راتګ ردوي او منع شوي لینکونه، او د لارښود څخه بهر فایلونه نه بدلیږي
ډیټا او فعال ریګریشنپاڼه کول، ځایی پوښتنې، د اجازې چک او د شالید دندې د پروژې موجوده ازموینې تیرې کړې
سرچینې او کتنېد CPU، حافظې، د تېروتنې کچه، ځنډ او د TLS تېروتنو کې غیر معمولي زیاتوالی شتون نلري.
Traceabilityد اپ گریڈ وخت، بسته/عکس هضم، د تشکیلاتو بدلونونه، د تایید پایلې او ناحل شوي توکي خوندي کړئ

دا د تطبیق منلو سپارښتنې دي او د هر CVE لپاره د برید سکریپټ تولید ته اړتیا نلري. تایید چې د حادثو، د سرچینو ستړیا، او د حد څخه بهر آرشیفونه پکې شامل دي باید په جلا چاپیریال کې د اپسټریم ریګریشن ازموینې یا د پروژې کنټرول شوي ازموینې ډیټا وکاروي.

8.2 پیچ کول او د مداخلې تفتیش مختلف دندې دي

د غیر معمولي کوډ کولو غلطیتونو، کارګر/JVM کریشونو، شکمن فایل لیکلو، د ډایرکټر ډیټا بدلونونو، د تصدیق استثناء، د بهر څخه بهر غوښتنې، او د اعتباري کارونې ریکارډونو لپاره موجود لاګونه وګورئ. دا نښې باید په شرایطو کې قضاوت وشي: حادثه یا OOM د بریالي استخراج ثبوت ندی. د خبرتیا نشتوالی دا نه ثابتوي چې سیسټم اغیزمن نه و.

کله چې غیر مجاز تعدیلات، موافقت شوي اسناد، یا تایید شوي ناوړه انحصارونه وموندل شي، شواهد باید وساتل شي، اړونده مثالونه جلا شي، اغیزمن شوي اسناد د باور وړ چاپیریال څخه وګرځول شي، او سیسټم بیا جوړ شي. پیچ به هغه ټوکنونه لغوه نکړي چې د برید کونکي لخوا ترلاسه شوي وي یا هغه معلومات بیرته راولي چې ترمیم شوي وي.

9. د اکمالاتو سلسله امنیتي پیښه: LiteLLM 1.107.0 جوړجاړی

**د رسمي تایید نیټه: 2026-10-21.**LiteLLM راپور ورکړ چې د هغې د خوشې کولو پایپ لاین سره جوړجاړی شوی. د PyPI litellm==1.107.0 او د ورته مودې ځینې Docker/GHCR محصولات پټ غلا او د ریموټ کنټرول ناوړه کوډ لري، او اړوند محصولات بیرته اخیستل شوي. S41

د اغیزو د ټاکلو لپاره، تاسو باید د تاریخي نصب ریکارډونه او د عکس هضم وګورئ؛ لیبلونه لکه latest، main-latest، او main-stable اوس پاکو عکسونو ته اشاره کوي، کوم چې دا نه ثابتوي چې د پیښې په وخت کې ایستل شوي محصولات پاک وو. په هغه وخت کې رسمي سپارښتنه دا وه چې په لنډمهاله توګه 1.106.2 پن کړئ؛ دا سپارښتنه د دې پیښې پر بنسټ وه، او نور امنیتي اعلانونه لاهم اړتیا لري چې د ګمارنې پرمهال وڅیړل شي. S41

د چاپیریال لپاره چیرې چې اړوند محصولات نصب شوي یا چلول شوي:

  1. د نصبولو ریکارډونه، انځورونه، او لاګ جلا کړئ او خوندي کړئ، او د پاک چاپیریال څخه یې معاینه کړئ.
  2. لومړی په شکمن چاپیریال کې Python/pip پیل مه کوئ؛ ناوړه .pth / sitecustomize.py ممکن د پیل څخه وروسته بیا اجرا شي.
  3. د باوري سرچینو څخه کوربه ، venvs / کانټینرونه بیا جوړ کړئ؛ نشي کولی یوازې پیکجونه غیر نصب یا ښکته کړي.
  4. د ریښتیني لاسرسي پراساس د کلاوډ اسناد ، د LLM چمتو کونکي کیلي ، LiteLLM کیلي او ډیټابیس اسناد لغوه کړئ او غیر معمولي کارونې بیاکتنه وکړئ. S41

دا د اکمالاتو سلسله تایید شوې پیښه ده او د ناوړه کوډ اجرا کولو ، د اعتبار لیک لیک ، او دوام خطرونو ته اړتیا لري کله چې ورسره معامله وکړئ. د اکتوبر 23، 2026 پورې، چارواکو لاهم د ابتدايي مداخلې په اړه تحقیقات کول.

ضمیمه: حواله شوي سرچینې او لینکونه

د لاندې سرچینې تایید نیټه 2026-10-23 ده، په شمول د پروژې رسمي امنیتي اعلان، د رسمي کوډ ذخیره او د پلورونکي لارښوونې. اصلي متن [Sx] د دې ضمیمې سره مطابقت لري؛ کله چې تازه معلومات ترسره کوئ، تاسو باید وګورئ چې ایا عرضه کوونکي وروسته بیاکتنې خپرې کړي.

S1 — Node.js: 2026-10-21 امنیتي خبرتیا

  • موخه: څلور دوره High، شاخونه اغیزمن کوي، د اکتوبر امنیت خوشې کول.
  • سرچینه: Official Security Bulletin

S2 - Node.js: د درې ساتنې لینونو لپاره رسمي خوشې لارښوونې

S3 - Vercel: Node.js Brotli RCE امنیتي مشوره

S4 — Node.js: Brotli رسمي پیچ سپارل

  • موخه: د اصلي کوډ کولو چک کولو او د غلطو تبلیغاتو لپاره د تطبیق اساس.
  • سرچینه: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS پته نورمال کولو پیچ

S6 — Node.js: DNS NUL تایید پیچ

S7 — Node.js: 2026-07-29 امنیتي خبرتیا

S8 — Next.js: 2026-10-14 امنیتي تازه معلومات

سرچینه: S9 — Next.js：typed arrays / use cache RCE

سرچینه: S10 — React：React Server Components RCE

سرچینه: S11 — Next.js：SVG Image Optimization RCE

سرچینه: S12 — Next.js：Server Actions DoS

S13 — Next.js: AVIF د انځور اصلاح RCE

سرچینه: S14 — Next.js：Windows RCE

سرچینه: S15 — Next.js：next/og ImageResponse RCE

سرچینه: S16 — Oracle: October 2026 CPU

S17 — Oracle: CVE-2026-91403 د بینډ څخه بهر الارم

  • موخه: 2026-10-21، JSSE سند اعتماد خطر، اغیزمن شوي محصولات او CVSS 3.1 9.1.
  • سرچینه: Oracle Security Alert

S18 — Oracle: JDK رسمي نسخه او ډاونلوډ کړئ

  • موخه: د اکتوبر په 20 نیټه د CPU او د اکتوبر په 21 نیټه د بانډ څخه بهر نسخه ترمنځ توپیر وکړئ؛ د Java 8 د لنډې نسخې محدودیتونه توپیر کړئ.
  • سرچینه: JDK release list
  • سرچینه: Oracle Java Download page

S19 — Oracle: eMudhra لنډمهاله وتلو پلان

S20 - Eclipse Adoptium: د جوړولو ریکارډ خپور کړئ

  • موخه: Temurin د سند پیښې له امله له سره بسته شوی؛ د Oracle نسخه ضمیمه په میخانیکي ډول نشي پلي کیدی.
  • سرچینه: Adoptium Release Scorecards

S21 — Apache Tomcat 9 امنیت خبرتیا

S22 — Apache Tomcat 10 امنیت خبرتیا

S23 — Apache Tomcat 11 امنیت خبرتیا

  • موخه: درې توکي Important، 11.0.27، AJP د تطبیق وړ ساحه او د افشا کولو / خپریدو نیټه.
  • سرچینه: Tomcat 11 vulnerabilities

S24 - Apache Tomcat: JNDIRealm پیچ ژمنې

  • موخه: د تصدیق تصدیق تشو ترمیم لپاره رسمي اساس.
  • سرچینه: JNDIRealm Patch commit

سرچینه: S25 — Spring：GraphQL CVE-2026-59285

سرچینه: S26 — Spring：GraphQL CVE-2026-41699

  • موخه: یو پخوانی فکس حد، یوازې د دې لپاره چې تشریح کړئ چې ولې تاسو نشئ کولی په زاړه اساس کې پاتې شئ.
  • سرچینه: 6 Month GraphQL Security Bulletin

سرچینه: S27 — Spring Security：CVE-2026-59270

  • موخه: UnboundID LDAP شامل کړئ، پیژندل شوی مدیریت پیژندنه او د OSS/تجارتي نسخه توپیر کړئ.
  • سرچینه: Spring embedded LDAP Security Bulletin

سرچینه: S28 — Spring Security：CVE-2026-47841

  • موخه: WebAuthn د کارونکي تصدیق، د سیشن سیریل کول او د برید اساس.
  • سرچینه: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 خپلواکه امنیتي مشوره

  • موخه: 2026-09-30، Critical، SNI شرایط او لنډمهاله اقدامات د SSLContext لخوا حواله شوي.
  • سرچینه: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 خپلواکه امنیتي مشوره

S31 — CPython: wrap_bio رسمي پیچ او 3.12 بیک پورټ

S32 — PSF: CVE-2026-82049 خپلواکه امنیتي مشوره

S33 - CPython: د سپتمبر په پای کې / د اکتوبر په پیل کې رسمي امنیت خپور شوی

S34 - CPython: 3.10 وروستی خوندي خوشې

  • موخه: 3.10.22 او د پورته ژوند دوره پای.
  • سرچینه: Python 3.10.22

S35 — CPython: 2026-10-21 د بیړنۍ ساتنې نسخه

  • موخه: 3.13.17 / 3.14.9 / 3.15.1، جوړ شوی pip او certifi تازه، د موجوده venv اړتیاوې.
  • سرچینه: Python 3.13.17
  • سرچینه: Python 3.14.9
  • سرچینه: Python 3.15.1

S36 — certifi: emSign سند بې باوري اعلان

S37 — PSF: د Python کاروونکو باندې د eMudhra / emSign اغیزې

د pip بوټ اپ گریڈ کمانډ د رسمي لارښوونو لخوا چمتو شوی چې د S37 لخوا حواله شوی په لاندې ډول دی. یوازې په Python چاپیریال کې کارول کیدی شي چې د باور وړ وي؛ که چیرې په 9 برخه کې د مسموم کیدو شک شتون ولري، لومړی د پیښې پروسې سره سم جلا کړئ او بیا جوړ کړئ. دا د ویل مینځپانګې هش حل کوي او وروسته د پروژې پروسې سره سم نور انحصارونه تازه کوي.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 - Django: 2026-08-04 خوندي خوشې

  • کارول: CVE-2026-15307، GeoDjango د استخراج شرایط، ابتدايي اصلاحات او د مطابقت بدلونونه.
  • سرچینه: Django 6.0.8 / 5.2.17

S39 - Django: 2026-10-06 خوندي خوشې کول

  • موخه: CVE-2026-87890، جیومیټری DoS د اوسني ټاکل شوي بیس لاین سره وروسته تقویه کول.
  • سرچینه: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: وروستی tar_filter اړخ یادښت

S41 — LiteLLM: د اکمالاتو د لړۍ رسمي راپور، د اکتوبر 21

  • موخه: 1.107.0 ککړ شوي محصول، تاریخي هضم، د جلا کولو بیا رغونه او د اعتبار وړ ضایع کول.
  • سرچینه: Contained: LiteLLM v1.107.0 Compromised

S42 - Google Brotli: رسمي خوندي نسخه

  • موخه: خپلواک Brotli 1.0.10 / 1.1.1 / 1.2.1 او د کراس ژبې سرایت شوي کاپي تصدیق اساس.
  • سرچینه: Brotli releases

S43 - غلط: د قوماندې رسمي اسناد وکاروئ

  • موخه: د نړیوال ترتیب د وسیلې نسخه او کمانډ سیمانټیک مشخص کړئ.
  • سرچینه: mise use

S44 - PyPA: pip - د پلټنې رسمي پروژه

  • موخه: Python د انحصاري زیان مننې پلټنې هدف او وړتیا حدود.
  • سرچینه: pip-audit

S45 — Python: د ترافیل استخراج فلټر سند

  • موخه: د معلوماتو ستراتیژي، د اصلي چلند بدلونونه، او محدودیتونه چې نشي کولی د شګو بکس بدل کړي.
  • سرچینه: tarfile extraction filters

S46 — Node.js: منځمهاله CA ردولو میکانیزم

  • موخه: دا eMudhra اړوند د باور زنځیر پروسس کول د ټولو روټ سندونو کریپټوګرافیک باطلولو سره مساوي ندي.
  • سرچینه: Node.js PR #66871

S47 — CPython: SNI UAF تخنیکي یادښتونه او اصلاحات