--- title: "Node.js, Java او Python: وروستي زیانونه او د درملنې لارښود" description: "د چلولو وخت، چوکاټ او د سند تازه کولو بیاکتنه، د څانګې ځانګړي پیچ بیس لاینونو، د افشا کولو شرایط، لنډمهاله کمولو او د تولید تصدیق سره." language: "ps" url: "https://keendigit.com/ps/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java او Python: وروستي زیانونه او د درملنې لارښود د چلولو وخت، چوکاټ او د سند تازه کولو بیاکتنه، د څانګې ځانګړي پیچ بیس لاینونو، د افشا کولو شرایط، لنډمهاله کمولو او د تولید تصدیق سره. **سرچینې د اکتوبر 23، 2026 پورې چک شوي (UTC)** **د پوښښ موده: د جولای له 25 څخه تر اکتوبر 23، 2026، د سپتمبر څخه تر اکتوبر پورې په نویو اعلانونو او ورپسې پیچونو تمرکز کوي.** **اوریدونکي: انجینران او امنیتي ځواب ورکوونکي چې د Node.js، Java، Python خدمتونه، کانټینرونه، د پایپ لاینونو جوړول او پراختیایي چاپیریال ساتي.** دا مقاله په Node.js، Java، او Python منډو، معیاري کتابتونونو، او عام سرور چوکاټونو او انحصارونو کې وروستي مهم امنیتي خطرونه لنډیز کوي، او د اغیزو ساحه، ثابته نسخه، لنډمهاله کمولو اقدامات، د پیچ کولو طریقه، د پیچلو انتخاب طریقه چمتو کوي. د اجزاو نسخو په وړاندې د اغیزو ارزونه، فعال شوي ځانګړتیاوې او د لاسرسي وړ ننوتلو نقطو. د زیان مننې حقایق د رسمي مشورې څخه راځي؛ نیټې عامه افشاء کولو ته راجع کیږي پرته لدې چې د مخکینۍ پیچ خوشې کول په واضح ډول یاد شوي وي. موږ د استثمار غیر تایید شوي شرایط ، CVSS نمرې یا په ځنګل کې استثمار نه کوو. د ګمارنې مشوره د پلي کولو لارښود په توګه پیژندل کیږي. ## TL؛ DR: د درملنې لومړیتوبونه 1. **هغه وخت تازه کړئ چې واقعیا لومړی خدمت کوربه کوي.** اړوند Node.js څانګه لږترلږه **22.23.4 / 24.22.1 ته تازه کړئ 26.12.1**. هغه خدمتونه چې د Node 24 کاروي کولی شي په ورته لوی نسخه کې **24.22.1 ته لوړ شي یا په وروستي نسخه** کې چې ورته اصلاحات لري. [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-2) 2. **Update Node application dependencies separately.** For Next.js, use **15.5.28 / 16.4.1** as the upgrade baseline; کله چې React Server Components په خپلواکه توګه کاروئ، اصلي نصب شوي `react-server-dom-*` بسته وګورئ. یوازې د Node بائنری تازه کول د دې چوکاټ زیانونه نه پوښي. [S8](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-12) 3. **Java : د تازه معلوماتو دواړه پړاوونه پوښي.** د اکتوبر 20 دواړه پوښښ د پلورونکي ودانۍ نصب کړئ CPU او د اکتوبر 21 **CVE-2026-91403** اضطراري سند - د باور اصلاح. برخه وګورئ 2.2 لپاره Oracle JDK 11 -27 د بانډ څخه بهر نسخې؛ د خپلو امنیتي کڅوړو او بشپړ جوړ شوي شمیرو په وړاندې نور توزیع تصدیق کړئ. اړونده تازه کړئ Tomcat څانګې ته **9.0.123 / 10.1.61 / 11.0.27** . [S16](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-16) [S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17) [S18](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-18) [S20](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-20) [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21) [S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22) [S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : ژباړونکی، د غوښتنلیک کڅوړې او د سند کڅوړې په جلا توګه تازه کړئ.** برخه وګورئ 2.3 د ژباړونکي اساساتو لپاره؛ `certifi` سپارښتنه کوي **≥ 2026.10.19** , `pip` **≥ 26.2.2** ، کله چې کارول کیږي `uv` **≥ 0.13.4** . هر موجود وینوی باید معاینه شي. لپاره `wrap_bio()` اړوند کوډونه، سم او غیر خالي `server_hostname` هم باید داخل شي. [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) 5. **که سمدستي اپ گریڈ ناممکن وي، په اړونده ننوتلو نقطو کې افشا کول کم کړئ.** د بې باورۍ مخه نیولو ته لومړیتوب ورکړئ Brotli کوډ کول، اغیزمن انځور/پاینګ/آرشیف پروسس کول، او د ستونزو جلا کول LDAP یا د تصدیق ثبتونه؛ ساتل TLS سندونه او کوربه نومونه تایید شوي. دننه WAF نشي کولی بهر ته تګ لارې پوښښ کړي لکه غوښتنلیکونه چې ناوړه فشار شوي غبرګونونه راوباسي. [S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27) [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30) [S32](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-32) 6. **بیا جوړ کړئ، زاړه پروسې ځای په ځای کړئ، او د حقیقي خدماتو له لارې تایید کړئ.** د لاک فایل او عکس هضم خوندي کړئ، غوښتنلیک او عکس بیا جوړ کړئ، د ټولو کارمندانو / JVM / کانټینرونو لپاره ځای پرځای کړئ؛ اصلي پروسه چیک کړئ ، د انحصار ونې ، د باور پلورنځی او د سوداګرۍ راجسټریشن ازموینې. یوازې د کمانډ لاین نوې نسخه دا نه رامینځته کوي چې درملنه بشپړه شوې. 7. **I که LiteLLM 1.107.0 نصب یا چلول شوی وي، د پیښې د غبرګون طرزالعملونه تعقیب کړئ.** پروژې د اکتوبر په 21 د خوشې کولو موافقت تایید کړ. اغیزمن چاپیریال جلا کړئ، د پاک چاپیریال څخه تحقیق وکړئ، بیا جوړ کړئ او افشا شوي اسناد وګرځوئ. د لومړي چک کولو لپاره په شکمن چاپیریال کې Python/pip مه پیل کړئ. د جزیاتو لپاره 9 برخه وګورئ. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) ## 1. د زیان مننې عمومي کتنه او د خطر ارزونه ### 1.1 د ریښتیني افشا کیدو له لارې درملنې ته لومړیتوب ورکړئ لاندې د ګمارنې لومړیتوبونه د پلي کولو لارښوونې دي. د شدت لیبلونه هر پلورونکی تعقیبوي، په شمول د Apache د **Important** درجه بندي. CVSS 3.1 او 4.0 د مختلف سکور کولو سیسټمونه دي؛ یوازې د نمرو له مخې مسلې مه درجه بندي کړئ. | ایکوسیستم / پرت | مهمې مسلې | رسمي درجه یا تایید شوې نمرې | د لومړیتوب ځای پرځای کول | | ----------------------- | -------------------------------------------------------------------- | ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js اصلي انحصار | CVE-2026-111497: Brotli د حد څخه بهر لیکل شوی، او د RCE خطر شتون لري | Node：High | د Brotli ډاټا [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) په بهرنۍ غوښتنې بدن یا بهرني ځواب کې ډیکوډ کړئ | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: پارس کول او د هویت تصدیق متضاد دي | High | URL کرول، پراکسي، Webhook، متحرک هدف پته [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: حافظه ختمه شوې او UAF | High | Node په مستقیم ډول د بې اعتباره HTTP/2 ترافیک [S7](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-7) اداره کوي | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | سرور RSC، اړونده کیچ اجزا او د معلوماتو لاره [S9](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-10) | | Next.js انځور اصلاح کول | CVE-2026-96889: SVG انځور پروسس کول RCE | Critical；CVSS 4.0 9.5 | په glibc Linux کې مثالونه چې غیر باوري عکسونه اداره کولی شي [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | په ځانګړي ډول جوړ شوي غوښتنه د CPU د ختمیدو لامل کیږي | High；CVSS 4.0 8.2 | App Router او لږترلږه یو Server Action [S12](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-12) | | Java TLS باور | CVE-2026-91403: په اغیزمن شوي منځني CA باور ته دوام ورکړئ | CVSS 3.1 9.1 | TLS/API سناریو [S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17) د اغیزمن باور چین په کارولو سره | | Tomcat | JNDIRealm تصدیق بای پاس، HTTP/2 کراس غوښتنه مکس اپ، AJP غبرګون لیک | Important | د Realm / Connector / async Servlet لارې سره مطابقت لري [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: د مخونو بندول RCE | High | Jackson 2 + Connection پاڼه کول + د ګټې اخیستنې وړ ټولګی [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: سرایت شوی LDAP پیژندل شوی مدیریت هویت افشا شوی | Critical | ایمبیډ شوی LDAP فعال شوی او د اوریدلو پورټ برید کونکي [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27) ته د لاسرسي وړ دی | | CPython `ssl` | CVE-2026-19445: SNI د شرایطو بدلول په UAF کې | Critical | Python پخپله TLS پای ته رسوي، او د شرایطو د ژوند دورې حالت [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29) پوره کوي | | CPython `ssl` | CVE-2026-19553: کله چې کوربه نوم ورک وي تصدیق پریږدئ | High | `wrap_bio()` / اړوند asyncio کال ورک شوی متوقع کوربه نوم [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: هارډ لینک او سمبولیک لینک ترکیب بای پاس | High | په اتوماتيک ډول د بې اعتباره ټار آرشیف [S32](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-32) استخراج کړئ | | Django / GeoDjango | CVE-2026-15307: د ځایي پوښتنې لیکلو فایل، SSRF، د RCE حالت لاندې | High | ځایي پوښتنې یا اړونده ادارې انٹرفیسونه چې بې اعتباره داخله مني [S38](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-38) | | Python سند انحصار | certifi: emSign اړوند سند بې باوري | Critical; GHSA، هیڅ نه پیژندل شوی CVE | TLS پیرودونکي او د بسته بندي مدیریت وسیله [S36](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) لاهم اغیزمن CA bundle کاروي | لنډیزونه: RCE د ریموټ کوډ اجرا کولو لپاره ولاړ دی، UAF د کارولو وروسته - وړیا لپاره ولاړ دی، او SSRF د سرور اړخ غوښتنې جعل لپاره ولاړ دی. د RCE مستقیم اجازې معمولا د غوښتنلیک کوربه کولو پروسې اجازې دي او په اوتومات ډول نشي کولی د ریښې اجازې سره مساوي وي. **وړاندیز شوی ترتیب:** لومړی RCE اداره کوي، کوم چې په بهر کې د لاسرسي وړ دی او شرایط پوره کوي، د اعتبار بای پاس، د کراس کاروونکي ډیټا لیک او د سند تصدیق کولو مسلې؛ په ورته وخت کې، د خلکو سره مخامخ DoS د ننوتلو نقطې لپاره تازه معلومات مهالویش. د استحصال ثابتولو لپاره په تولید کې د برید پایلوډونو چلولو ته اړتیا نشته. انحصار شتون لري، د کوډ لارې د لاسرسي وړ دي، او د برید شرایط پوره کیږي. دا درې مسلې دي چې باید په جلا توګه وڅیړل شي. ### 1.2 درې په اسانۍ سره ګډوډ سرحدونه - **د منډو وخت او انحصار په جلا توګه لوړ کړئ.** لپاره امنیتي تازه معلومات Node , JDK , CPython په اوتومات ډول د سټایلون تاسیساتو ترمیم نه کوي Next.js , Spring , Django , certifi یا اصلي توسیعونه. - د **remediation حد د اوسنۍ ګمارنې له اساس څخه جلا دی.** د اګست په میاشت کې د زیانمننې لپاره لومړی پیچ د سپتمبر څخه تر اکتوبر پورې د نوي مسلو پوښلو تضمین نلري؛ برخه 2 د پلي کولو هدف په توګه تایید شوي وروستي تازه معلومات کاروي. - **د یو ریښتیني اکمالاتي سلسلې جوړجاړی څخه زیان منونکي توپیر کړئ.** د عامو زیانونو لپاره، پیچ د راتلونکي برید لارې له منځه وړي؛ کله چې ناوړه کڅوړې چلول شوي وي، د اعتبار او دوام اغیزې باید وڅیړل شي. 9 برخه LiteLLM په رسمي توګه تایید شوې پیښه ده. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) ایا په ځنګل کې د استخراج تصدیق شوی دی باید د رسمي افشاء پراساس وي. پلورونکي د استثماري فعالیتونو یادونه نه ده کړې او نشي کولی ثابت کړي چې هیڅ برید شتون نلري؛ درملنه باید د اصلي برید سطحې پراساس ترسره شي. ## 2. د ثابتې نسخې چټکه کتنه او د ځای پرځای کولو اساس ### سرچینه: 2.1 Node.js、React、Next.js | برخه / څانګه | وړاندیز شوی نسخه بیس لاین | د کارولو لپاره لارښوونې | | --------------------------------------------- | -------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | امنیت خپور شوی [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-2) د اکتوبر په 21 مه | | Node.js 24.x | **24.22.1** | د 24.x څانګې ته تطبیق کیږي؛ 24.22.0 د اکتوبر 21 امنیتي پیچ نه لري [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | په ورته بسته کې د امنیت خوشې کول [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 او مخکینۍ پورته څانګې | ملاتړ شوي څانګې ته مهاجرت وکړئ | Node 20 دا اپ سټریم فکس نه مني؛ د پلورونکي تمدید شوي ملاتړ باید په جلا توګه [S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) تایید شي | | Next.js 15.x | **15.5.28** | د اکتوبر په 14 [S8](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-8) تازه شوی | | Next.js 16.x | **16.4.1** | د پورته [S8](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-8) په څیر | | سټینډیلون RSC 19.0 / 19.1 / 19.2 / 19.3 څانګه | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | درې `react-server-dom-*` کڅوړې په جلا توګه وګورئ؛ یوازې پورتنۍ پرت ته مه ګورئ `react` [S10](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-10) | | Next په حقیقت کې `sharp` بار شوی | **≥0.35.5** | د SVG زیانمننې لپاره رسمي لنډمهاله حل شرایط؛ نور Next.js پیچونه نه بدلوي [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) | Node په رسمي ډول د اکتوبر د زیانمننې لپاره د ساتنې اغیزمن شوي څانګې لیست کوي، مګر د توکو په واسطه د پیل شوي پیچ نسخه توکي نه وړاندې کوي، نو د هرې زیانمننې دقیق پیل نسخه یوازې د ساتنې څانګې رینج پراساس نشي ټاکل کیدی. کله چې ګمارل کیږي، د ورته څانګې پورتنۍ نسخې کارولو ته لومړیتوب ورکړئ یا د ورته فکسونو درلودو لپاره تایید شوې وروستۍ نسخه. ### 2.2 Java: اکتوبر CPU پلس د بانډ څخه بهر سند تازه کول دا جدول په **Oracle JDK** باندې تطبیق کیږي. دوهم کالم یوازې د اکتوبر 20 CPU پوښي؛ په دریم کې د اکتوبر د 21 څخه بهر خوشې کول شامل دي. یوازې د CPU نسخې ټول Java خطرونه نه پوښي چې دلته بحث شوي. [S16](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-18) | څانګه | اکتوبر 20 CPU | Oracle د اکتوبر په 21 د بډ څخه بهر خپور شو | | ----- | ------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | د عامه خوشې کولو میز لاهم **8u511** ښیې؛ د ځانګړي امنیت جوړونې او د باور سلسلې ترمیم باید وڅیړل شي، او یوازې د لنډ نسخې شمیرې پراساس نشي ټاکل کیدی | \*\*Java 8 اړتیا لري د بشپړ جوړونې معلوماتو پروړاندې وڅیړل شي:\*\*Oracle خبرتیا 8u511 د اغیزمنې نسخې په توګه لیست کوي ، او د خوشې کولو لیست د ورته لنډ نوم سره راتلونکي تازه معلومات لیست کوي. د پیچ ​​حالت یوازې د "8u511" لنډ نسخه شمیرې پراساس توپیر نشي کیدی. تاسو باید د ځانګړي امنیت جوړونې او باور سلسلې اصلاحات تایید کړئ. [S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-18) **Temurin , Corretto , Zulu , Microsoft Build of OpenJDK ، د خپریدو نسخه OpenJDK ، او داسې نور، د دوی اړوند اعلاناتو او بشپړ بسته / جوړ شمیرې سره سم چیک کړئ.** د مثال په توګه، د رسمي خوشې ریکارډ Adoptium وايي چې اړونده جوړښت د اضافه کولو لپاره له سره بسته شوی دی eMudhra اصلاح کول د اپ سټریم نسخه ورته نوم پدې معنی ندي چې د کڅوړې مینځپانګه ورته ده. د `.0.2` لپاره ضوابط Oracle په میخانیکي ډول په نورو خپرونکو باندې نشي پلي کیدی. [S20](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-20) | Java غوښتنلیک اجزا | وړاندیز شوی نسخه بیس لاین | څرګندونې | | ------------------------------------- | ------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | د څانګې په واسطه څانګه چیک کړئ؛ Tomcat 10.0 ساتنه بنده شوې ده [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | سوداګریز ملاتړ هم 2.0.4.1 [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) دی | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | د اګست په میاشت کې اعلان شوي لږترلږه فکس نسخه سره مطابقت لري؛ تاسو اړتیا لرئ د ځای پرځای کولو دمخه د راتلونکي امنیت بلټین [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-28) وګورئ | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | اعلان د سوداګریز مالتړ فکس په توګه لیست شوی؛ مهاجرت ارزول کیږي کله چې ورته ملاتړ شتون ونلري، او داسې انګیرل نشي چې Maven Central وړیا [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27) لپاره شتون لري | د Spring اپ گریڈونه باید د پروژې Spring Boot BOM، Java لږترلږه نسخه او مطابقت لینونو ته درناوی وکړي. په مستقیم ډول د پیچ ​​ترلاسه کولو لپاره ټول Spring ماډلونه ورته شمیر ته مجبور مه کوئ. ### 2.3 CPython، Django او د سند انحصار د لاندې جدول دوهم کالم د TLS مسلې باندې تمرکز کوي چې په سپتمبر کې افشا شوي؛ د `tarfile` لپاره د څانګې توپیرونه د 5.3. برخه کې ښودل شوي د اکتوبر 21 خپرونه د بنډل شوي سند وسیلې هم تازه کوي، نو په وروستي کالم کې هغه وروسته ځای پرځای شوي اساسات شامل دي. [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-35) | CPython څانګه | د سپتمبر امنیت بیچ لږترلږه نسخه | وړاندیز شوی ځای پرځای کول اساسی کرښه | | ------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | له پورته څخه وروستی خپور شوی، EOL؛ د مهاجرت تنظیم کول یا د خوشې کولو توسیع ملاتړ [S34](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-34) تایید کړئ | | 3.11 | **3.11.17** | 3.11.17، او په انفرادي ډول په هر چاپیریال کې pip/certifi تازه کړئ | | 3.12 | **3.12.15** | 3.12.15، او په انفرادي ډول په هر چاپیریال کې pip/certifi تازه کړئ | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | د 3.15.0 وروستي خوشې کې دواړه TLS فکسونه [S31](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-47) شامل دي | **3.15.1** | د 3.11 او 3.12 اپ سټریم امنیتي نسخې یوازې د سرچینې کوډ کې خوشې کیدی شي؛ کله چې د عملیاتي سیسټم کڅوړه وکاروئ ، د پلورونکي بیک پورټ مشورې او د کڅوړې بشپړ نسخه چیک کړئ ، او هیڅ اړتیا نشته چې سیسټم Python په زور سره د ځان جوړ شوي نسخې سره بدل کړئ. [S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-34) | خپلواک انحصار | وړاندیز شوی نسخه بیس لاین | تفصیل | | ---------------------- | -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | راتلونکی سمون [S38](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-39) د اکتوبر په 6 کې شامل کړئ | | certifi | **≥2026.10.19** | GHSA لومړنی پیچ دی .18؛ PSF وړاندیز کوي .19 د غیر اغیزمن سندونو لپاره مطابقت ساتل [S36](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | د certifi جوړ شوی کاپي باید په جلا توګه تازه شي [S35](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) | | uv (که کارول کیږي) | **≥0.13.4** | د اصلي نصب کولو میتود سره سم [S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) تازه کړئ | **دا اساسات د لیست شوي فکسونه پوښي.** په `tar_filter` کې بله منځني شدت مسله د اکتوبر په 22 افشا شوه. د اکتوبر 23، 2026 پورې، د ساتنې رسمي نسخه چې دا فکس لري لا تر اوسه تایید شوی نه دی؛ له همدې امله، 3.13.17 / 3.14.9 / 3.15.1 د ټرافائل ټولې مسلې پوښلي ندي. د 5.4. [S40](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-40) برخه وګورئ ### 2.4 د توزیع بیک پورټونو تصدیق کول د پلي کولو اصول په Ubuntu، Debian، RHEL او نورو سافټویر کڅوړو کې پلي کیږي: 1. د عملیاتي سیسټم نسخه، د ذخیره کولو سرچینه، د بشپړ کڅوړې نسخه، او د پلورونکي امنیتي بلیټین شمیره ثبت کړئ. 2. تایید کړئ چې مشورتي ځانګړي CVE پوښي او د اړونده توزیع خوشې کولو لپاره یو ثابت بسته پیژني. 3. د ریښتیني چلولو پروسې لخوا بار شوي بائنری/کتابتونونه پرتله کړئ ، نه یوازې د اپ سټریم لنډ نسخه. 4. کله چې د پلورونکي پیچ هیڅ شواهد شتون نلري، دا پریږدئ چې "تایید شي" او دا د یوازینۍ پایلې په توګه مه اخلئ چې د نسخې شمیره زاړه یا نوې ښکاري. د apt/RPM بسته نسخو او د بیالبیلو توزیع بیکپورټ ستراتیژیو کې توپیرونه شتون لري. د هرې توزیع امنیت بلټین او بشپړ بسته نسخه باید غالب وي. ## 3. Node.js / JavaScript ایکوسیستم: د لاملونو تحلیل او درملنه ### 3.1 CVE-2026-111497: Brotli اصلي ډیکوډر د حد څخه بهر لیکل **افشا کول: 2026-10-21; Node رسمي درجه: High. د** Node 22.x، 24.x، 26.x اغیزمن شوي جوړونه د پیچ ​​برخې 2.1 نصبولو ته اړتیا لري. Node اعلان د CVSS نمرې شمیرې لیست نه کوي. [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1) ستونزه د اصلي کوډ کولو منطق کې رامینځته کیږي کله چې د خراب شوي Brotli کمپریس شوي جریان اداره کول ، کوم چې کولی شي د حد څخه بهر لیکلو لامل شي. د Vercel رسمي توضیحات تاییدوي چې د څیړنې مظاهرې د پروسې حافظه لیک او د قوماندې اجرا کول شامل دي. ایا برید کوونکی کولی شي ډیکوډر ته ورسیږي پدې پورې اړه لري چې ایا غوښتنلیک یا انحصار په حقیقت کې هغه ډاټا ډیکوډ کوي چې دا کنټرولوي. [S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) دواړه لارښوونې باید په ورته وخت کې وڅیړل شي: - **inbound: The** چوکاټ یا مډل ویئر په اوتومات ډول د کارونکي لخوا سپارل شوي Brotli غوښتنې باډي ډیمپریس کوي. - \*\*outbound:\*\*HTTP پیرودونکي، عکس اخیستونکي، او داسې نور د برید کونکي کنټرول وړ سرچینو ته لاسرسی ومومي او په اتوماتيک ډول بیرته راګرځیدونکي مینځپانګې ډیمپریس کړي. براوزرونو ته لیږل شوي ځوابونو Brotli کمپریشن غیر فعال کول د کوډ کولو ننوتلو نقطه نه لرې کوي. د داخلي WAF محافظت هم د غوښتنلیکونو راوړل او د خارجي ځوابونو کوډ کولو پوښښ نه کوي. [S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) \*\*Patch سمت:\*\*Node Brotli اپ سټریم فکس په اصلي انحصار کې حرکت وکړئ، او د غیرقانوني کوډ کولو حالت چک کول او د خطا تبلیغ بشپړ کړئ. کله چې د ځان تالیف شوي نسخه ساتل، تاسو باید د رسمي امنیت خوشې کولو یا د سمون څانګې بشپړ پیچ وکاروئ. تاسو نشئ کولی یوازې د JavaScript کڅوړې نسخه بیان بدل کړئ. [S4](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-4) **د لنډمهاله پلي کولو وړاندیزونه:** غیر ضروري غیر باوري Brotli کوډ کول بند کړئ؛ د مینځلویر او HTTP پیرودونکي اتوماتیک ډیکمپریشن چلند چیک کړئ؛ که چیرې سوداګرۍ باید دا بڼه ومني، ژر تر ژره په پیچ شوي چاپیریال کې پروسس بشپړ کړئ. د `Accept-Encoding` تنظیم کول یوازې د خبرو اترو عمل دی او باید یوازې د ثبوت په توګه ودریږي چې ناوړه ځواب بند شوی دی. ### 3.2 TLS / DNS درې High: د تایید څیز د اصلي هدف سره متناسب دی ټول درې د اکتوبر په 21 افشا شوي، د رسمي لوړولو حد سره د 2.1. [S1](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-1) برخه کې ټاکل شوي | پیژندونکی | مسله تایید شوه | اغیزمن شوي څانګې | | --------------- | ------------------------------------------------------------------------------------- | ------------------ | | CVE-2026-105482 | `dns.resolve` د نومونو قطع کول چې NUL لري | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP په بشپړ چوکۍ عددي بڼه د دې لامل کیږي چې د سند کوربه نوم تایید له پامه وغورځول شي | 24.x / 26.x | | CVE-2026-106069 | کوربه نوم چې په نرمه توګه د IP په توګه تشریح کیدی شي د TLS تایید بای پاس کې پایلې لري | 22.x / 24.x / 26.x | DNS د ستونزې جوهر دا دی چې د پورتنۍ پرت لخوا چک شوی تار د هغه نوم څخه توپیر لري چې په حقیقت کې د ښکته پرت لخوا تجزیه شوی. رسمي پیچ NUL د پارس کولو ننوتلو کې ردوي او د راجسټریشن پوښښ اضافه کوي. [S6](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-6) TLS دوه توکي د نوم نورمال کول، د IP تفسیر او د سند سره سمون لري. پیچ وکړئ ترڅو غیر معیاري IP ان پټ رد شي یا په سمه توګه اداره شي ترڅو د سند ډومین پیژندنې سره د اصلي IP پای ټکی ګډوډ نه شي. [S5](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-5) د **:** لپاره د ستونزې حل کولو حقیقي وړاندیزونه د ترلاسه کونکي کارونکي URL، متحرک پراکسي هدف یا Webhook پته چک کولو ته لومړیتوب ورکوي؛ متحد معیاري کول او د لیست قضاوت ته اجازه ورکوي، د NUL/کنټرول حروف ردوي، قانوني IPv4، IPv6 او نړیوال شوي ډومین نومونه لاهم کار کوي. ایا SSRF نور هم رامینځته کیدی شي د لینک شواهدو غوښتنلیک ته اړتیا لري، کوم چې په مستقیم ډول د CVE نوم څخه اخیستل کیدی نشي. د پوسټ اپ گریڈ چیکسم غلطیو له مینځه وړو لپاره `NODE_TLS_REJECT_UNAUTHORIZED=0` یا `rejectUnauthorized: false` مه کاروئ. پته، سند او د سوداګرۍ ترتیب باید سم شي. ### 3.3 جولای HTTP/2 High - خطر او د اجازې ماډل مسلې لاندې مسلې چې د جولای په میاشت کې افشا شوي لاهم باید په تحقیق کې شاملې شي. دا سپارښتنه کیږي چې په مستقیم ډول د اکتوبر امنیت نسخه بیس لاین 2.1 برخه کې د ځای پرځای کولو پرمهال وکاروئ. [S7](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-7) | CVE | لاملونه او اغیزې | لومړی ثابت نسخه | | -------------- | ------------------------------------------------------------------------------------------------------------------------------ | -------------------------------- | | CVE-2026-56846 | ساتل شوی HTTP/2 header بلاک په سمه توګه د `maxSessionMemory` بودیجه کې شامل نه دی او کولی شي حافظه ختمه کړي؛ اغیزه 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 د پاکټ راټولولو په جریان کې د لیږلو لاره بیا ننوځي، چې د UAF د ډیریدو لامل کیږي؛ اغیزه 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` د لارې مخکینۍ حد میچ خورا پراخه دی، او د اجازه شوي لیست څخه بهر فایلونو ته لاسرسی کیدی شي. | د پورته دریو ساتنې لینونو په څیر | ټول درې په رسمي ډول High دي. لومړی دوه توکي د دې چک کولو ته لومړیتوب ورکوي چې ایا HTTP/2 پخپله د Node لخوا پروسس کیږي؛ دریم توکي یوازې ورته معنی لري کله چې د اجازې ماډل کاروي او په دې حد تکیه کوي. د اجازې ماډل توکي ټول نشي کولی د شبکې RCE په توګه تشریح شي چې تصدیق ته اړتیا نلري. [S7](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-7) په لنډمهاله توګه په جلا، تازه شوي پراکسي کې د HTTP/2 لغوه کول او د بیک انډ سرچینو محدودول د افشا کولو کمولو لپاره د ځای پرځای کولو اختیار دی؛ د منابعو کوټې یوازې کولی شي د سرچینې د ختمیدو پایلې کنټرول کړي او نشي کولی UAF پیچ کړي. ### 3.4 اکتوبر React / Next.js: دوه توکي RCE او یو توکي DoS #### A. RCE په RSC / `use cache` فنکشنونه د ټایپ شوي صفونو بیرته راګرځي **عامه نېټه: 2026-10-14; Critical، CVSS 4.0 9.5.** رسمي مشورتي پیژندونکي: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-10) د React پورته مسله کې د برید کونکي کنټرول وړ ارزښتونو سره یوځای ډیری ټایپ شوي صفونه شامل دي RSC ځواب درې یې اغیزمن کړل `react-server-dom-*` د بسته نسخې دي **19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0** ; د څپرکي برخه وګورئ 2.1. خالص براوزر اړخ React ، یا هغه غوښتنلیکونه چې چوکاټونه/پلګ ان نه کاروي چې ملاتړ کوي RSC په هرصورت، د دې توکي په دائره کې مه راځی. [S10](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-10) Next.js د ښکته جریان اعلان لیست **16.0.0 — 16.4.0** په کې بیاکتنه شوې **16.4.1** ; سناریو ده App Router , Cache Components ، او `use cache` هغه افعال چې ډیری ټایپ شوي سرې بیرته راګرځوي. هیڅ رسمي معتبر عمومي حل شتون نلري، او د اغیزمنو نسخو کاروونکي اړین دي چې په وخت کې لوړ شي. دا مناسبه نده چې یوازې د پروسس پای ته رسولو لپاره "دا فنکشن شتون نلري" لپاره په لاسي لټونونو تکیه وکړئ. [S9](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-9) #### سرچینه: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. د** ستونزه د اپ سټریم اصلي کتابتون کې رامینځته کیږي چې د عکس اصلاح کولو لپاره کارول کیږي. چارواکو په ګوته کړه چې د RCE خطر د **glibc Linux** سناریو کې شتون لري. [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) د رسمي نسخې ساحې دي: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 چارواکي د 16.x څانګې لپاره د `>16.0.0` سخت ټیټ حد کاروي، مګر دا رینج بیان کافی نه دی چې ثابت کړي چې 16.0.0 خوندي دی. د ریښتیني لوړولو هدف په مساوي ډول **15.5.28 / 16.4.1** دی. [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) رسمي لنډمهاله حل دا دی چې ډاډ ترلاسه شي چې **Next په حقیقت کې تیز ≥0.35.5** بار کوي. د فایلونو لاک کول، نیست شوي انحصارونه، او د پلي کولو عکسونه ممکن لاهم زاړه مثالونه وساتي، نو یوازې په پورتنۍ کچه د `sharp` انحصار نوې نسخه اضافه کول کافي ندي، د وروستي انحصار ونه باید وڅیړل شي او بیا جوړ شي. [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU ختم شوی \*\*GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.\*\*Next اغیزه کوي **13.0.0—15.5.27, 16.0.0—16.4.0**، د **15.5.28 حل کوي /16.4.1**. شرایط App Router او لږترلږه یو Server Action دي؛ ناوړه غوښتنې کولی شي CPU د اوږدې مودې لپاره قبضه کړي، په ورته پروسې کې د راتلونکو غوښتنو مخه ونیسي. د Pages Router سره یا د Server Actions پرته غوښتنلیکونه پدې اغیزه نلري. [S12](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-12) هیڅ رسمي کار شتون نلري چې د نوي کولو ځای ونیسي. د نرخ محدودیتونه، د موافقت محدودیتونه او د منابعو کوټې کولی شي زیان کم کړي، مګر د پیچ ​​تایید لپاره د پایلې په توګه نشي کارول کیدی. ### 3.5 پخوانۍ Next.js په ورته کړکۍ کې جدي ستونزه لاندې توکي د ورک شوي ګمارنې څخه مخنیوي لپاره دي چې لاهم د اګست - سپټمبر دمخه نسخو کې پاتې دي؛ دا سپارښتنه نه کیږي چې اوس په جدول کې د زاړه فکس حد ته لاړشئ. | نیټه | پیژندونکی / سناریو | لومړی اصلاح؛ اوسنی عمل | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: AVIF د انځور اصلاح اصلي کتابتون RCE, Critical | 15.5.24 / 16.3.3; اوس 15.5.28 / 16.4.1 [S13](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE، Critical کله چې Pages Router او App Router په Windows کې په ورته وخت کې کارول کیږي، او Cache Components فعال نه وي؛ نسخې `>=13.4.0 <15.5.24`، `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; لینکس/macOS د دې ځانګړي Windows مسلې [S14](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-14) لخوا نه اغیزمن کیږي | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: په `next/og` کې د Node انځور تولید لاره بې اعتباره SVG، Critical پروسس کوي؛ 16.2.0—16.3.5 | 16.3.6; د Edge تطبیق د دې مسلې له ساحې بهر دی، او 15.x د دې RCE [S15](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-15) لپاره اغیزمنه څانګه نه ده | ## 4. Java ایکوسیستم: د چلولو باور، کانټینرونه او چوکاټونه په جلا توګه اداره کیږي ### 4.1 JDK: منظم CPU او CVE-2026-91403 دوه درجې تازه معلومات دي د Java SE د خطر میټرکس لپاره Oracle CPU د اکتوبر په 20 لست **55 نوي امنیتي پیچونه، چې 49 یې د تصدیق پرته په شبکه کې د ګټې اخیستنې په توګه نښه شوي** . دا پدې معنی ندي چې 55 شتون لري Critical ، او نه دا پدې معنی ده چې 49 په مستقیم ډول د استخراج وړ دي RCE د هر یو لپاره لارې Java ویب خدمت دا باید د اجزاو، APIs، د کاروونکي متقابل عمل او په میټریکس کې د ځای پرځای کولو شرایطو سره په ګډه پوه شي. [S16](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-16) د بلې ورځې **CVE-2026-91403 (CVSS 3.1 9.1)** د بل ډول خطر سره معامله کوي: د eMudhra پیښې پورې اړوند د مینځنۍ CA یوه سیټ چې نور باور نلري. دا د TLS پییر تصدیق او د مخابراتو محرمیت / بشپړتیا اغیزه کوي او د JVM حافظې فساد زیانمنونکي په توګه نشي تشریح کیدی. [S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17) د Oracle مشورتي هغه نسخه لیست کوي چې د اکتوبر په 20 مه خپور شوی د اغیزمن کیدو په توګه، نو د اکتوبر په 21 نیټه د بډ څخه بهر تازه معلومات هم نصبولو ته اړتیا لري. د ځانګړي نسخې لپاره 2.2 برخه وګورئ. GraalVM هم اړونده اغیزمن شوي محصولات لري، او ثابت نسخه باید د دې ځانګړي امنیتي بلیټین تابع وي. [S17](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-18) **لنډمهاله رسمي اقدامات:** لومړی بیک اپ کړئ، او بیا د هر ریښتیني کارول شوي ټرسټور څخه د ټاکل شوي روټ سند لرې کړئ: - `emSign ECC Root CA - G3`، Oracle عرف `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`، Oracle عرف `comodoaaaca [jdk]`. [S19](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-19) JDK 11 او وروسته، رسمي مثال دا دی: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` د دې کمانډونو لپاره د هدف JDK**څخه**keytool وکاروئ او تصدیق کړئ چې دوی د غوښتنلیک ریښتیني باور پلورنځي کې کار کوي. Java 8 د `jre/lib/security/cacerts` سره ورته لاره کاروي؛ د ټرسټور دودیز کول باید په جلا توګه اداره شي، او نور خپرونکي ممکن مختلف عرفونه ولري. د ریښې سند لرې کول به د رد کولو ساحه پراخه کړي ، او د راجسټریشن ازموینې مشروع خدمت سند زنځیرونه. [S19](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-19) چارواکي د لغوه کولو چک کولو وړ کولو اختیار هم چمتو کوي، مګر اغیز د TLS په ریښتینې پلي کولو، د لغوه کولو خدماتو لاسرسي او ناکامۍ ستراتیژۍ پورې اړه لري. د عمومي ګمارنې لپاره ، د بشپړ پلورونکي تازه معلوماتو نصبولو ته لومړیتوب ورکړئ ترڅو د دوه JVM سویچونو درملنې څخه مخنیوی وشي د ثبوت په توګه چې ټول TLS کتابتونونه تنظیم شوي. ### 4.2 Tomcat: تصدیق بای پاس او د کراس کارونکي غوښتنه جلا کول لاندې درې توکي په **2026-10-20** کې خپاره شوي؛ د ترمیم شوي نسخه ننوتل د **October 12** نیټه ده. د Apache رسمي درجه **Important** ده. [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) | CVE | اغیزمن شوي نسخې تایید شوي | اړین سناریوګانې / پایلې | | --------------- | ---------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm د غیر GSSAPI SASL تصدیق کولو میکانیزم تنظیموي، د اعتبار تصدیق ورک دی، او غلط پاسورډونه هم تیریږي | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | د HTTP/2 د غیر متناسب سرویلټ تېروتنه اداره کول په غلط ډول د شیانو ریسایکل / بیا کارول ، د دې لامل کیږي چې غوښتنې یا ځوابونه د کاروونکو ترمینځ ګډ شي | | CVE-2026-103119 | یوازې **11.0.0-M25—11.0.26** تایید کړئ | لوی AJP غیر بلاکیدونکي لیکنې کولی شي د بفر لاندې لوستلو لامل شي ، په وروستیو غوښتنو کې د پخواني ځواب ډیټا افشا کوي. | اړونده فکس دی **9.0.123 / 10.1.61 / 11.0.27**؛ AJP یوازې د اعلان سره سم د Tomcat 11 په توګه لیست شوی، او د ورته ستونزې سره درې څانګو ته پراختیا نشي ورکولی. [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) د JNDIRealm پیچ د ریښتیني تصدیق پروسې کې د تایید تشه حل کوي ، چیرې چې "د غوښتنلیک د ننوتلو انٹرفیس نورمال ښکاري" د تایید پرځای نشي کارول کیدی. Realm، SASL میکانیزمونه باید د خدماتو اصلي ترتیب لپاره وڅیړل شي، او ازموینې باید د غلط پاسورډونو لپاره ناکام شي. [S24](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-24) **د لنډمهاله پلي کولو وړاندیزونه:** د اغیزمن تصدیق کولو لاره جلا کړئ؛ د HTTP/2 د Tomcat پروسس ځنډول کله چې سوداګرۍ اجازه ورکوي؛ بې ګټې AJP بند کړئ. یوازې د AJP بندر ته د مستقیم لاسرسي محدودول دا نشي ثابتولی چې د قانوني مخ پراکسي له لارې ننوتل ترافیک به اغیزه ونلري. د رسمي تازه کولو وروسته، د دوو خپلواکو کاروونکو څخه غیر متناسب همغږي غوښتنې باید ازموینه وشي ترڅو دا تایید کړي چې د پیژندنې او ځوابونو ترمنځ هیڅ ډول خبرې شتون نلري. ### سرچینه: 4.3 Spring for GraphQL：CVE-2026-59285 **عامه نېټه: 20-08-2026; High.** اغیزمن شوی **2.0.0—2.0.4**، ترمیم شوی **2.0.5 (OSS)** یا **2.0.4.1 (تجارتي ملاتړ)**. [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) دا د صفحې په پوښتنو کې د غیر خوندي غیر منظم کولو خطر دی. رسمي اړتیا دا ده چې لاندې شرایط باید په ورته وخت کې پوره شي: 1. Spring for GraphQL وکاروئ. 2. د جیکسن 2.x په کارولو سره JSON غیر منظم کړئ. 3. بهرنۍ نړۍ ته د ارتباط پاڼې کولو ساحه چمتو کړئ. 4. کلاسپاټ ځانګړي ټولګي لري چې کولی شي د انسټاګرام یا ډیسیریل کولو پرمهال غیر متوقع منطق ترسره کړي. ناوړه GraphQL غوښتنه ممکن د RCE لامل شي کله چې شرایط پوره شي. دا نشي راټیټیدلی شي "د جیکسن په کارولو سره ټول Java پروګرامونه کارول کیدی شي". [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) **ولې 2.0.4 کافي نه دی:** په جون کې، CVE-2026-41699 د پیچ بیس لاینونه لکه 2.0.4 ورکړي وو، او د اګست په میاشت کې اعلان په واضح ډول د 2.0.4 نفوذ نوي سکوپ کې شامل کړ. له همدې امله، د ترمیم ریکارډ باید د راتلونکو اعلانونو سره سم تازه شي، او د زاړه CVE لږترلږه نسخه نشي کارول کیدی. [S26](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-26) کله چې اپ گریڈ په لنډمهاله توګه شتون نلري، د بې اعتباره زنګ وهونکو ته د لاسرسي وړ د مخ کولو ساحې اغیزمن کیدی شي وځنډول شي؛ د بې ځایه کیدو وړ ډولونو او ټولګیو لارو لنډول یو ژور اقدام دی. ریګریشنونه باید قانوني کرسرونه، مخ شوي پایلې، او د استثنایی ان پټ ردولو پوښښ وکړي، او د وروستي غوښتنلیک JAR کې د اصلي برخې نسخې وګورئ. ### 4.4 Spring Security: CVE-2026-59270 او اړوند تصدیق خطرونه **CVE-2026-59270, 2026-08-20, Critical.** سرایت شوی `UnboundIdContainer` د ډیفالټ لخوا پیژندل شوي مدیر اسناد ثبتوي او په ټولو شبکو انټرفاکسونو کې اوري. کله چې برخه فعاله شي او بندر د لاسرسي وړ وي، برید کونکی کولی شي د لارښود ډاټا لوستل یا بدل کړي؛ هغه پروژې چې عموما Spring Security معرفي کوي به په اتوماتيک ډول LDAP افشا نه کړي. [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27) اغیزمنه سیمه: | څانګه | اغیزمن شوی | لومړی فکس / استملاک چینل | | --------- | ------------------------- | ------------------------------------ | | 7.1 | 7.1.0 | 7.1.1 OSS; همدارنګه سوداګریز 7.1.0.1 | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; همدارنګه سوداګریز 7.0.6.1 | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19، تجارتي | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26، تجارتي | سرچینه: [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27). د `spring.ldap.embedded.*` اتوماتیک ترتیب او مستقیم انسټیټیوټ کوډ ستونزه حل کړئ؛ اجزا وتړئ کله چې تولید ته اړتیا نه وي، او د اوریدلو اصلي پته وګورئ. کله چې سوداګرۍ واقعیا ورته اړتیا لري ، لومړی د زنګ وهلو سرچینې محدود کړئ او بیا د برخې اپ گریڈ بشپړ کړئ. **د تصدیق کولو اړوند مسله: CVE-2026-47841 ( High ).** WebAuthn د کارونکي تصدیق ټاکل شوی `REQUIRED` ، او وروسته HTTP سیشن د توزیع شوي ذخیرې لخوا سیریل شوی ، د اعتراض پیژندنې غلط پرتله کول ممکن د تصدیق اړتیا باطله کړي. برید هم د برید کونکي ته اړتیا لري چې د کارونکي تصدیق کونکي وسیله ولري ، نه د وسیلې پرته په خپل سري ریموټ ننوتل. د اړوندو اغیزمنو نسخو لپاره 7.1 , 7.0 , 6.5 ، او 6.4 د پیچ ​​اساسی کرښه په پورتني جدول کې د دې څانګو سره مطابقت لري؛ تایید باید د کراس نوډ ناستې پوښښ وکړي او لاهم د PIN/بایومیټریک تصدیق ته اړتیا لري. [S28](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-28) ## 5. Python ایکوسیستم: ترجمان، معیاري کتابتون، چوکاټ او سندونه ### 5.1 CVE-2026-19445: SSLContext UAF په SNI کال بیک کې **د خپرولو نېټه: 2026-09-30; د PSF کچه: Critical.** Python سرور TLS کې، `sni_callback` بل `SSLContext` ته ارتباط بدلوي، او کله چې اصلي شرایط شتون نلري غیر مستند TLS پیرودونکی ممکن خدمت خراب کړي یا په خوشې شوي اعتراض کې پوائنټر ته زنګ ووهي. [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29) اصلي خبره دا ده چې د Python څیز د TLS کال بیک ژوند دورې سره متناسب دی. اصلي شرایط خوشې شوي، او لاندې پرت ممکن لاهم د کال بیک لپاره اړین حالت وساتي؛ د ژباړونکي اصلي پیچ باید د حوالې د ژوند دورې د سمولو لپاره وکارول شي. [S47](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Python کوډ چې یوازې د TLS پیرودونکي په توګه کار کوي د دې توکي لخوا نه اغیزمن کیږي. د اوریدلو ساکټ نورمال حالت د اوږدې مودې لپاره اصلي شرایط ساتي په اعلان کې تشریح شوي ځانګړي ناکامي لارې ته نه راځي. وروسته له دې چې نګینکس TLS پای ته رسوي، دا یوازې HTTP ته Python ته ورکوي، او Python په مستقیم ډول پخپله SNI اداره کوي، کوم چې د مختلف برید سطح دی. [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29) د 3.10—3.14 فکس شوي نسخې سره په مطابقت کې، برخه وګورئ 2.3. د 3.15 رسمي نسخه ترمیم شوې، او 3.15.1 په حقیقت کې غوره کیدی شي. یوازې د pip انحصار تازه کول نشي کولی د ژباړونکي `_ssl` تطبیق بدل کړي. [S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-47) **رسمي لنډمهاله تخفیف:** ټولو SSLContext ته قوي حوالې ساتي چې د سرور د ژوند دورې پای پورې د SNI کال بیک ترتیب کړی. دا د ریښتیني متحرک رامینځته کولو او بدلولو لارې پوښلو ته اړتیا لري؛ دودیز OpenSSL 1.1.1 جوړ باید د رسمي مسلې ریکارډ سره په ګډه د بیا خبرو شرایط هم وګوري او بشپړ تازه معلوماتو ته لومړیتوب ورکړي. [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: د کوربه نوم بیرغ فعال شوی، مګر د زنګ وهلو پر مهال کوربه نوم ورک دی **عامه نېټه: 2026-09-30; High. کله چې**`SSLContext.check_hostname=True`، که `wrap_bio()` په `server_hostname` کې نه تیریږي، اصلي تطبیق ممکن په خاموشۍ سره د کوربه نوم تایید پریږدي. د بریالي سند سلسلې تایید پدې معنی ندي چې د هدف ډومین نوم هم ورته شوی. [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30) درملنه دواړه مرحلو ته اړتیا لري: - د 2.3. برخه کې لیست شوي ژباړونکي امنیت ریلیز نصب کړئ - د `wrap_bio()`، اړوند `asyncio.create_connection()` / `loop.start_tls()` لارې وګورئ، په واضح ډول په تمه شوي او غیر خالي کوربه نوم کې تېر کړئ، او د سند تصدیق فعال وساتئ. [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30) \*\*مطابقت توپیرونه چې له مینځه وړل کیدی نشي:\*\*3.10، 3.11، 3.12 د مطابقت لپاره دي، یوازې `DeprecationWarning` د ځینو قضیو لپاره صادر شوي چیرې چې کوربه نوم ورک دی؛ 3.13 او وروسته `ValueError` پورته کړئ. 3.12 بیک پورټ هم په روښانه ډول د خالي تارونو څخه `None` توپیر کوي: د `None` لپاره نوی خبرداری اضافه شوی، او د خالي تارونو لپاره یوه تېروتنه لاهم راپور شوې. له همدې امله، د ټیټې څانګې کاروونکي نشي کولی داسې انګیرل شي چې د اصلي ورک شوي ډومین نوم تایید په اتوماتيک ډول د نوي کولو له لارې بیرته راستانه شوی. [S31](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33) د ازموینې په چاپیریال کې، د باور لرونکي چینې سند د بې مطابقت شوي کوربه نوم سره وکاروئ او تایید کړئ چې اصلي غوښتنلیک TLS پیرودونکي دا ردوي. یوازې د `check_hostname` بولین ارزښت لوستل د بشپړ منلو نه تشکیلوي. ### 5.3 CVE-2026-82049: د ټرفیل فلټر کې د لینک ترکیب بای پاس **عامه نېټه: 2026-09-14; High .** په CPython 3.13 او مخکیني اړوند تطبیقونه، په بې باوره ټار کې د سختو اړیکو او سمبولیک لینکونو ترکیب کولی شي له دې څخه تیر شي. `data` / `tar` د استخراج فلټر، د پیک کولو ونې کې د پیک کولو لارښود څخه بهر د فایلونو مینځپانګې افشا کول ، یا د دوی اجازې او ترمیم وخت بدلول. [S32](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-32) د دې زیانمننې تایید شوي اغیزې د فایل مینځپانګې افشا کول او د میټاډاټا ترمیم شامل دي؛ دا اغیزې یوازې د دې لپاره کافي ندي چې د بهرني فایل مینځپانګې په خپل سري ډول لیکل یا د RCE غیر مشروط پلي کول وښیې. For the corresponding patch baselines of 3.10—3.13, see Section 2.3. **Python 3.14 has been exempted from this specific issue due to `os.link()` behavior changes since 3.14.0b1**، نو د 3.10—3.13 د پورتنۍ څانګې اغیزمنه ساحه نه پلي کیږي. [S33](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-33) **لنډمهاله او ژور اقدامات:** د بې اعتباره آرشیفونو اتوماتیک استخراج وځنډوي؛ د جلا کم امتیاز کارګر پروسې او نوي ځانګړي لارښودونه وکاروئ کله چې سوداګرۍ باید پروسس شي ، سمبولیک لینکونه ، سخت لینکونه او د سوداګرۍ لخوا د وسیلې ننوتل رد کړئ ، او د فایلونو شمیر محدود کړئ او د کمپریشن سرچینې. دا د ګمارنې سپارښتنې دي. `filter="data"` د بشپړ باور ستراتیژۍ په پرتله د عمومي بې باوري آرشیفونو لپاره خورا مناسب دی ، مګر پخپله په زاړه نسخه کې فلټر هم دا زیان لري ، او یوازې د دې پیرامیټر اضافه کول نشي کولی تازه ځای په ځای کړي. فلټر هم د بشپړ فایل سیسټم سینڈ باکس نه دی. [S32](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 اضافي خطر: CVE-2026-114583 (Medium) او د پیچ خوشې کولو حالت PSF په **2026-10-22** کې افشا شوي چې د `tarfile.tar_filter` د ځانګړي لینک نومونو پروسس کول له پامه غورځول کیدی شي ، چې وروسته غړو ته اجازه ورکوي چې د بسته بندۍ لارښود څخه بهر د یوې کچې سره ولیکي. **Medium**. رسمي فکس PR په هغه ورځ یوځای شو؛ د اکتوبر 23، 2026 پورې، د دې ژمنې سره د ساتنې کوم رسمي خوشې کول تایید شوي ندي. [S40](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-40) نو ځکه: - دا توکي په جلا توګه د Medium په توګه لیست شوي. - د ژباړونکي نسخې چې د اکتوبر په 21 خپور شوي د دې فکس شاملولو په اړه فکر نه شي کولی. - هغه پروسه چې لاهم د بې باوره آرشیفونو اداره کولو لپاره `filter="tar"` کاروي باید د خوشې کولو بیک پورټ تعقیب کړي؛ د دې پروسس کولو لاره د لنډې مودې لپاره جلا یا وځنډول. کله چې `data` ته لاړ شئ او لینکونه رد کړئ، تاسو باید دا هم تایید کړئ چې دا د سوداګرۍ اړتیاوې پوره کوي، او د فلټر بدلول د غیر مشروط سینڈ باکس په توګه نشي تشریح کیدی. ### 5.5 GeoDjango: CVE-2026-15307 او ورپسې په اکتوبر کې اصلاحات **2026-08-04, Django رسمي High.** ځایي پوښتنه په ښکاره ډول `GDALRaster` ته ځینې تارونه/ قاموسونه لیږدوي، او چلوونکی ممکن په شبکه کې د فایلونو لیکلو غوښتنه وکړي. RCE کیدی شي رامینځته شي کله چې مشخصې لارې او وروسته د اجرا شرایط شتون ولري. د ځایي ساحې ماډل لیدو اجازې سره کارمندان ممکن د مدیر بدلون لیست له لارې دې لارې ته لاسرسی ومومي. [S38](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-38) لومړنی فکس **5.2.17 / 6.0.8** دی، کوم چې د ځایي لټونونو لخوا منل شوي ان پټ ډولونه محدودوي. دا بدلون ممکن د راسټر څرګندولو لپاره د تار / لغت کارولو اصلي سوداګرۍ اغیزه وکړي؛ په ساده ډول په GDALRaster کې د بې باوره آخذو لپاه کول د دې تصدیق کولو معنی نلري. [S38](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-38) د اکتوبر په شپږمه **CVE-2026-87890 (اعتدال)** ترمیم شوی: VRT په بایټ کې څرګند شوی کولی شي بهرنۍ سرچینې حواله کړي او لاهم د شبکې غوښتنې رامینځته کوي. په همدې ورځ، د nested هندسي DoS د ساتنې CVE-2026-15830 هم پياوړی شو. وروستنۍ دوه نشي کولی د نوي لوړ خطر تشریح کولو لپاره لوړ شي RCE ، مګر دا په ګوته کوي چې د ځای پرځای کولو اساس باید وي **5.2.18 / 6.0.9 / 6.1.2** . [S39](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-39) تطبیق د API او ادارې انٹرفیس دوه د ننوتلو نقطې چک کوي، د بې باوره ځایي لټون، د فایل لیکلو اجازه او بهر ته لاسرسی محدودوي؛ د تازه کولو وروسته، د ریګریشن ازموینه د اعتبار وړ ځایي پوښتنو او د منع شوي ان پټ رد کول. عادي Django غوښتنلیکونه چې GeoDjango نه کاروي باید په مستقیم ډول د دې RCE پایله پلي نه کړي. ### 5.6 certifi / pip: د سند باور باید هره کاپي پوښي **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical ، پیژندل شوی CVE لیست شوی نه دی.** دا د سند بې باوري تازه دی چې له امله رامینځته شوی eMudhra منځنی CA پیښه دا د HTTPS د کریپټوګرافي میکانیزم په توګه لنډیز نشي کیدی یا دا چې ټول روټ سندونه مات شوي دي. [S36](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-36) د certifi مشورې په اصل کې **2026.10.18** د پیچ په توګه لیست شوي؛ PSF وروسته په ښکاره ډول **2026.10.19** د غیر اغیزمن شوي روټ سندونو سره مطابقت ساتلو لپاره وړاندیز وکړ. عملیاتي اساس .19 دی. [S36](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) توپیر ته اړتیا لري: | د مادي موقعیت باور | ولې تاسو اړتیا لرئ په جلا توګه وګورئ | | ------------------------------------------ | ------------------------------------------------------------------------------------- | | عملیاتي سیسټم CA بسته | د عکس یا کوربه لپاره د سیسټم باور توکي | | certifi په venv کې | CA bundle په حقیقت کې د غوښتنلیکونو یا غوښتنو وغيره لخوا کارول کیږي. | | pip جوړ شوی certifi | د خارجي نصب شوي certifi څخه یو مختلف کاپي دی | | uv / د بسته بندي نور وسایل | د وسیلې خپل تازه معلومات او باوري سرچینې تعقیب کړئ | | دودیز شوي CA فایلونه، بسته شوي سنیپ شاټونه | کیدای شي د سیسټمونو یا کڅوړو لپاره د ډیفالټ باوري سرچینو بیرته راګرځولو ته دوام ورکړي | پورته یو چک لیست دی چې د مختلف بسته کولو ځایونو پراساس دی. PSF د اړوندو وسیلو تازه کولو، موجوده مجازی چاپیریال او د عکس بیا رغولو ته اړتیا لري؛ یوازې د کوربه CA تازه کول یا د ژباړونکي بیا نصب کول نشي ثابتولی چې ټولې کاپي تازه شوي. [S35](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) کله چې د زوړ pip خوندي بوټسټریپ څخه نوي کول ، PSF د **فکس شوي ویل او SHA-256** لپاره کمانډونه چمتو کوي ، ضمیمه S37 وګورئ. د TLS تایید مه بندوئ یا د سند مسلو څخه د تیریدو لپاره `--trusted-host` اضافه کړئ. ## 6. د درملنې رسمي پروسه لاندې کمانډونه د باوري باوري چاپیریال لپاره دي. د اجرا کولو په وخت کې، د موجوده بسته بندۍ مدیر، د بند فایل او د پروژې پلي کولو پروسه باید یوځای شي ترڅو د npm/pnpm/yarn یا pip/uv/Poetry سره د متضاد لاک فایلونو رامینځته کولو مخه ونیسي. **لومړی یو استثنا اداره کړئ:** که تاسو شک لرئ چې چاپیریال په 9 برخه کې جوړ شوی کڅوړه پرمخ وړي، لومړی یې جلا کړئ او د پاک چاپیریال څخه ډیسک، لاک فایل او د عکس ریکارډ وګورئ؛ لومړی لاندې Python/pip کمانډ مه چلوئ. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 یو لیجر رامینځته کړئ چې د ریښتیني ترافیک سره مطابقت ولري هر خدمت لږترلږه ثبتوي: - د بهرنۍ ننوتلو نقطه، ریورس پراکسي، اصلي سایټ ته د مستقیم ارتباط لاره، او د شالید کتار / مهالویش شوي دندې. - د اصلي پیل کولو قومانده، د چلولو حساب، بائنری لاره، پروسې یا کانټینر پیژندنه. - د چلولو بشپړ نسخه، خپرونکی / ذخیره، د بسته بشپړ نسخه، یا د عکس هضم. - چوکاټ او انتقالي انحصار، لاک فایلونه، اصلي کتابتونونه، او د باور ذخیره کولو لارې. - د دې سره مطابقت لري چې ایا د زیان مننې حالت شتون لري، د پیچ هدف، د بیا پیل کولو ساحه، مسؤل شخص او د تایید پایله. د پراختیا ماشینونه، د CI چلونکي، د کانټینرونو جوړول، او د شالید دندې هم باید د دوی د لارو سره سم د باور وړ منځپانګې ته چک شي؛ یوازې د عامه مخ ویب کانټینر تازه مه کوئ. ### 6.2 Node.js: لومړی د چلولو وخت وټاکئ، بیا د غوښتنلیک انحصار تازه کړئ د حقیقي خدماتو چاپیریال کې وګورئ: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` باید د خدمت د حقیقي اجرا وړ یا په ریښتیني کانټینر کې په کارولو سره اجرا شي؛ دا د نویو پیل شویو پروسو لپاره چک کوي او پخپله دا نه ثابتوي چې پخوانی کارګر بدل شوی. Node کولی شي پیچ په جوړ شوي Brotli کې اضافه کړي پداسې حال کې چې د اصلي کتابتون نسخه تار ساتي. له همدې امله، یوازې په `process.versions.brotli` باندې تکیه مه کوئ ترڅو معلومه کړي چې ایا دا ترمیم شوی. تاسو باید دا د Node امنیت نسخه یا د پلورونکي بیک پورټ شواهد سره یوځای کړئ. [S2](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-4) `npm ls` د حقیقي انحصار ونې لیدلو لپاره کارول کیږي؛ ورک شوي کڅوړې یا د ملګرو شخړه ممکن غیر صفر وتلو کوډونه هم تولید کړي ، نو تاسو باید ځانګړي محصول ولولئ. `npm audit` د انحصار چک کولو مرستې په توګه کارول کیږي او نشي کولی د Node بائنری او اصلي کتابتون چیکنګ بدل کړي. د Node 24**چاپیریال اداره کولو لپاره**mise وکاروئ، کوم چې په لاندې ډول تازه کیدی شي: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` نړیواله نسخه ترتیبوي؛ د پروژې محلي ترتیب اوس هم باید په جلا توګه وڅیړل شي. که خدمت پخوانۍ مطلقه لاره، د کانټینر بیس انځور، یا د بل حساب چاپیریال حل کړی وي، اړونده ترتیب باید تازه شي او خدمت باید بیا پیل شي. قومانده پخپله د زاړه روان پروسې ځای نه نیسي. [S43](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-43) په Next پروژه کې، د ټاکل شوي څانګې سره سم ورته کمانډ اجرا کړئ. د Next 15 لپاره: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` د Next 16 لپاره: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` د React/RSC مطابقت لرونکي انحصارونه چیک کړئ، فایلونه لاک کړئ او وروستی تیز مثال، او بیا د پروژې پروسې سره سم جوړ کړئ. د بیا تولید وړ نصبولو لپاره په CI کې تازه شوي لاک فایل وکاروئ ، او د جوړیدو وروسته په روان عکس کې نسخه چیک کړئ. د دې بیړني حالت لپاره د ډیفالټ حل په توګه په لویو نسخو کې غیر کنټرول شوي اتوماتیک ترمیم مه کاروئ. ### 6.3 Java: خپرونکی تایید کړئ، اصلي JVM او سرایت شوي برخې ابتدايي فهرست: ```bash java -XshowSettings:properties -version ``` په محصول کې `java.home`، `java.runtime.version` او خپرونکی باید د JVM سره سمون ولري چې واقعیا د خدمت لخوا کارول کیږي. د ضمیمه اجازې سره د JVM لپاره، د JDK `jcmd` د هدف پروسې چک کولو لپاره کارول کیدی شي، نه یوازې د ننوتلو شیل. په باوري پروژو کې انحصار چیک کړئ او د اصلي جوړونې وسیلو پراساس غوره کړئ: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` د دې جوړونې کمانډونه ممکن پلگ ان اجرا کړي او آنلاین انحصار حل کړي ، او یوازې په باوري پروژو پرمخ وړي. په عکس کې وروستی JAR/WAR یا ریښتیني JAR وګورئ او د وروستي هنري اثار لپاره د جوړولو فایل اعالمیه مه بدلوئ. Spring بوټ سرایت شوی Tomcat د غوښتنلیک بیا جوړولو ته اړتیا لري؛ په سیسټم کې د جلا Tomcat نصب کول به د غوښتنلیک کڅوړه کې کاپي بدل نه کړي. وروسته له دې چې د رن ټایم تازه شو ، دودیز شوي `javax.net.ssl.trustStore` ، د غوښتنلیک پخپله بار شوي کیسټور ، jlink رن ټایم ، GraalVM / اصلي عکس او نور تحویلي فورمې توکي د توکي په واسطه چیک کړئ. هغه غوښتنلیکونه چې دمخه دودیز باور لرونکي توکي لري نشي کولی چیک پای ته ورسوي ځکه چې د JDK لارښود نوی کیږي. ### 6.4 Python: د ژباړونکي لخوا ژباړونکي او د مجازی چاپیریال پروسس کول د ریښتیني وینو / کانټینر دننه د باور وړ تصدیق شوی: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` دا سکریپټ یوازې معلومات راټولوي او د نسخې وړتیا پریکړه نه کوي. `ssl.get_default_verify_paths()` د ډیفالټ لارې معلومات دي او نشي ثابتولی چې ټول دریم اړخ پیرودونکي ورته باور پلورنځي کاروي؛ دا باید د غوښتنلیک ترتیب پراساس تایید شي. د S37 ضمیمه د باوري pip بوټ اپ گریڈ بشپړولو وروسته، د پروژې محدودیتونو سره سم د سند انحصار تازه کړئ، د بیلګې په توګه: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` د پروژې اړتیاوې/لاک فایل باید په ورته وخت کې تازه شي، که نه نو راتلونکی ګمارل ممکن زاړه نسخه ته راستون شي. کله چې uv، شاعري، یا د تصدۍ کڅوړې ذخیره وکاروئ، د دوی موجوده بندولو او خپرولو پروسې وکاروئ؛ یوازې د تولید کانټینر کې کڅوړې په لاسي ډول مه بدلوئ. د پروژې موجوده `pip-audit` کاري فلو په باوري چاپیریال کې د پیژندل شوي انحصاري زیانونو د چک کولو لپاره کارول کیدی شي؛ دا د ناوړه کوډ سکینر نه دی او ټول ژباړونکي، سیسټم کتابتون او د باور ذخیره خطرونه نه پوښي. [S44](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-44) **I دا سپارښتنه نه کیږي چې سیسټم `/usr/bin/python3` مجبور کړي چې نوي تالیف شوي نسخې ته اشاره وکړي.** د خوشې کولو امنیت تازه معلومات یا د پروژې جلا کولو وختونه وکاروئ ترڅو د مدیریت وسیلو ماتولو مخه ونیسي چې په سیسټم Python تکیه کوي. دا د تطبیق انتخاب دی او د دې زیان مننې لپاره اضافي اړتیا نه ده. ### 6.5 د چلولو مثال بیا جوړ او ځای په ځای کړئ دا سپارښتنه کیږي چې لاندې ګامونه د بشپړ بدلون په توګه واخیستل شي: 1. پیچ د اصلي باوري سرچینې څخه ترلاسه کړئ او نسخه/هیش او د انحصار لاک خوندي کړئ. 2. د نږدې تولید چاپیریال کې کلیدي دندې بیرته راګرځئ او تایید کړئ چې اصلي توسیعونه د JVM/ چوکاټ سره مطابقت لري. 3. د چلولو وخت، د غوښتنلیک انحصار او د حقیقي باور ذخیره تازه کړئ؛ د کانټینر لپاره د بیس عکس او سیسټم CA تازه کړئ، یوازې پخوانی پرت بیا مه کاروئ. 4. غوښتنلیکونه او عکسونه بیا جوړ کړئ، او خدمت، کارګر، کتار مصرف کونکي، او ټاکل شوي کاري مثالونه په رولینګ اساس بدل کړئ. 5. په نوي روان مثال کې نسخه او تشکیلات بیا چیک کړئ او تایید کړئ چې ټول زاړه کاپيونه وتلي دي. 6. د تېروتنې نرخونه، ځنډ، CPU/میموري، TLS لاسوهنې ناکامۍ، او د پروسې حادثې وګورئ. رول بیک باید د خوندي رن ټایم او پیچ انحصار ساتلو ته لومړیتوب ورکړي ، او د غوښتنلیک ترتیب یا د سوداګرۍ بدلونونو بیرته راوګرځوي. که تاسو اړتیا لرئ د زیان منونکو سره زاړه محصول ته بیرته راشئ ، د ننوتلو اړوند محدودیتونه باید په ورته وخت کې بحال شي ، او مسؤل کس او لږترلږه د رغیدو موده باید په روښانه ډول تعریف شي. ## 7. لنډمهاله کمول او پیچ انتخاب ### 7.1 د لنډمهاله اقداماتو د پوښښ حد لاندې د اعلان شوي کارونې شرایطو پراساس د پلي کولو وړاندیزونه دي. پرته لدې چې رسمي پلان یادونه وشي ، پلورونکی تضمین نه کوي چې ټول ډولونه په بشپړ ډول بلاک کیدی شي. | خطر | لنډمهاله اقدامات چې اخیستل کیدی شي | هغه برخه چې د دې پر بنسټ بشپړه شوې نه ګڼل کیږي | | --------------------------- | ------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Brotli کوډ کول | د بې باوره ان پټ کوډ کولو مخه ونیسئ؛ دننه او بهر ته اتوماتیک ډیکمپریشن چیک کړئ | دننه WAF یا د غبرګون کمپریشن بندول د کوډ کولو ټولې ننوتنې نه پوښي [S3](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | سمدستي لوړ کړئ؛ که اړتیا وي په موقتي توګه اغیزمن شوي خدمتونه جلا کړئ | د [S9](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-9) په اړه هیڅ رسمي معتبر نړیوال حل شتون نلري | | Next.js SVG RCE | رسمي پلان: د ریښتیني تیز ≥0.35.5 ډاډ ترلاسه کړئ؛ کله چې د سوداګرۍ اجازه ورکړل شي اړونده مطلوب د ننوتلو نقطې وځنډوي | نور Next/RSC مسلې نه پوښي [S11](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-11) | | Tomcat Realm / HTTP/2 / AJP | اړونده لاره جلا کړئ او غیر ضروري نښلونکي وتړئ | لاهم د اړونده څانګې ترمیم کڅوړې ته اړتیا لري [S21](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-23) | | GraphQL Deserialization | د اغېزمن پیوستون ساحې وځنډول؛ بې باوره زنګ وهونکي محدود کړئ | یوازې د غوښتنې اوږدوالی حد نشي کولی د ډول / ډیسیریل کولو ستونزه [S25](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-25) حل کړي | | Spring embedded LDAP | کله چې اړتیا نه وي غیر فعال کړئ؛ د ریښتیني اوریدلو بندر لاسرسی محدود کړئ | د ډیفالټ اداري هویت او ډایرکټر بشپړتیا لاهم د [S27](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-27) چک کولو ته اړتیا لري | | CPython SNI UAF | رسمي پلان: اړونده SSLContext د خدمت پای ته رسیدو پورې قوي حواله وساتئ | ټولې د جوړولو/سوئچ لارې باید د [S29](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-29) پوښل شي | | Python کوربه نوم پریښودل | رسمي حل: تمه شوي سرور\_هوسټ نوم په سمه توګه تیر کړئ | نشي کولی یوازې د check\_hostname بیرغ وګوري یا خبرداری له پامه غورځوي [S30](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-31) | | بې اعتباره توره | غیر ضروري / قرنطین استخراج ، غیر ضروري لینکونه او د وسیلې ننوتل رد کړئ | نه فلټرونه او نه د منابعو کوټا یونیورسل سینڈ باکسونه دي [S32](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-45) | | د سند باور پیښه | سم CA مواد تازه کړئ؛ Java باور د رسمي کمولو له مخې محدود کیدی شي | د TLS تایید غیر فعال کول [S19](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37) خطر زیاتوي | ### 7.2 د تحویلي میتود پراساس پیچ غوره کړئ | د سپارلو طریقه | د ترمیم میتودونو ته لومړیتوب ورکړئ | هغه شواهد چې باید وساتل شي | | ------------------------------ | ------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------- | | د توزیع مدیریت شوی وخت | د جوړونکي اړوند امنیتي تازه معلومات | د بشپړ کڅوړې نسخه، اعلان، د ذخیره کولو سرچینه | | رسمي بائنری / د چلولو مدیر | له همدې څانګې څخه رسمي امنیت خوشې شو | نسخه، سرچینه او هضم، د حقیقي اجرا کولو لاره | | پخپله تالیف شوی Node / CPython | د سمون څانګې رسمي سرچینې خوشې کول یا د پلورونکي بشپړ پیچ سیټ | د ژمنې ترتیب، د پیرامیټونو جوړول، انحصاري کتابتونونه او د بیاکتنې پایلې | | Spring / Next / Django | د څانګې دننه تازه معلوماتو سره مطابقت لري ، د انحصار لاکونو بیا رغول او وروستي غوښتنلیکونه | د انحصار وروستۍ ونې، په JAR / بسته / انځور کې اصلي نسخه | | د ګمرک باور پلورنځی | د وتلو رسمي پلان یا د پلورونکي تازه کول د وتلو تصدیق کوي | د حقیقي کارونې لاره، د موادو بدلون، TLS بریالیتوب او د رد کولو ازموینې | | یو جوړ شوی چاپیریال | د پاکو او باوري محصولاتو څخه بیا رغول او د جلا پیښو تحقیقات ترسره کول | تاریخي کڅوړه/عکس هضم، د نصبولو ریکارډ، د اعتباري گردش ریکارډ | ### 7.3 د کلیدي پیچ میکانیزم او بیاکتنې تمرکز - **Brotli:** دې ته پاملرنه کوي چې ایا د ودانۍ د ننوتلو دمخه د اصلي کوډ کولو حالت د حدود چیک او غلطۍ بیرته راستنیدل بشپړ شوي دي؛ یوازې د JavaScript کڅوړې ځای په ځای کول نشي کولی په Node کې په ثابت ډول ترتیب شوی کوډ بدل کړي. [S4](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS / TLS :** د ننوتلو ردولو، پته نورمال کولو، تر منځ توپیر باندې تمرکز کوي IP SAN او DNS پیژندنه، او DNS کال بیک/ وعده د پارسینګ لاره او TLS د کوربه نوم میچ ټیسټ. [S5](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-5) [S6](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** په دې تمرکز کوي چې ایا د تصدیق پروسه واقعیا اعتبار تاییدوي ، نه یوازې د لارښود شرایطو ترلاسه کولو پرځای؛ رسمي نسخې ته لومړیتوب ورکول او د یوې سرچینې فایل بدلولو سره د بشپړ بائنری پیچ په توګه چلند نه کول. [S24](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** د Python حواله ملکیت او د زیرمو SSLContext ژوند دوره تمرکز کوي؛ `wrap_bio()` بیک پورټ کوي پداسې حال کې چې د څانګې مطابقت توپیر لري، او تاسو باید د کارول شوي څانګې ریښتیني تطبیق ولولئ. [S31](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-47) - **Certificate distrust:** دا ډول تازه معلومات ممکن د باور وړ موادو په توګه څرګند شي یا د واضح API بدلونونو پرځای د لیست بدلونونه رد کړي. د Node په ورته ډله کې د اغیزمن شوي منځګړیتوب CA ردولو میکانیزم هم شامل دی؛ د Java او Python اړوند باوري سرچینې لاهم په جلا توګه تایید ته اړتیا لري. [S19](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-46) **خپلواک Brotli پابند هم باید وڅیړل شي.** د ګوګل اپ سټریم خپور شو **1.0.10 / 1.1.1 / 1.2.1** په هماغه ورځ د سمولو لپاره CVE-2026-111497 . Python اصلي غزول یا د JNI اثار چې ورته اغیزمن شوي C پلي کولو ته اړتیا لري په خپلواکه توګه نوي/بیا جوړ شي؛ دا نشي اټکل کیدی چې ټول پاک دي Java کوډ کونکي اغیزمن شوي، او نه دا فرض کیدی شي چې اپ گریڈ Node په اتوماتيک ډول په نورو ژبو کې کاپي بدلوي. [S42](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-42) ## 8. تایید او تعقیبي چکونه ### 8.1 لږترلږه د تایید چک لیست | توکي چک کړئ | شواهد اړین دي | | ------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | منډې وخت | بشپړ نسخه یا د پلورونکي بیکپورټ شواهد په ریښتیني پروسې / کانټینر کې سم دي | | د غوښتنلیک انحصار | Next/RSC/sharp، Tomcat/Spring، او Django/certifi په وروستي ګمارلو محصولاتو کې ورته حد ته رسیدلي دي | | د بدلولو لړۍ | ټول کارګر/JVM/کانټینر کاپي او د شالید دندې د نوي سره ځای په ځای شوي ، او زاړه مثالونه وتلي دي. | | TLS | د اعتبار وړ ډومین سندونه بریالي شوي؛ نامناسب کوربه نومونه او ناسم زنځیرونه د پالیسۍ له مخې ناکام دي؛ د ګمرک باور پلورنځي شامل دي | | eMudhra بې باوري | د اغیزمن شوي منځګړیتوب CA لخوا رامینځته شوی د سند سلسله د ریښتیني وخت په جریان کې رد شوې ، یا داسې شواهد شتون لري چې د ځانګړي پلورونکي امنیت جوړونې / ورته رد کولو لیست ځای په ځای شوی؛ قضیه د عمومي TLS ازموینې یا Java 8 لنډ نسخه شمیرې پراساس نشي تړل کیدی. | | Node کوډ کول او انځورونه | نورمال کمپریس شوی ځواب ، اپلوډ ، د عکس اصلاح کول او RSC دندې شتون لري؛ د بې باوره سرچینې پالیسي په عمل کې ده | | Java تصدیق او جلا کول | غلط پټنوم رد شوی؛ د خپلواک کارونکي همغږي غیر متناسب غوښتنې پرته له پیژندنې / ځواب سره مخلوط کول؛ LDAP اوریدل لکه څنګه چې تمه کیږي | | Python SNI / آرشیف | نورمال څو ډومین نوم TLS سوداګرۍ مستحکم دی؛ آرشیف د لارې تګ راتګ ردوي او منع شوي لینکونه، او د لارښود څخه بهر فایلونه نه بدلیږي | | ډیټا او فعال ریګریشن | پاڼه کول، ځایی پوښتنې، د اجازې چک او د شالید دندې د پروژې موجوده ازموینې تیرې کړې | | سرچینې او کتنې | د CPU، حافظې، د تېروتنې کچه، ځنډ او د TLS تېروتنو کې غیر معمولي زیاتوالی شتون نلري. | | Traceability | د اپ گریڈ وخت، بسته/عکس هضم، د تشکیلاتو بدلونونه، د تایید پایلې او ناحل شوي توکي خوندي کړئ | دا د تطبیق منلو سپارښتنې دي او د هر CVE لپاره د برید سکریپټ تولید ته اړتیا نلري. تایید چې د حادثو، د سرچینو ستړیا، او د حد څخه بهر آرشیفونه پکې شامل دي باید په جلا چاپیریال کې د اپسټریم ریګریشن ازموینې یا د پروژې کنټرول شوي ازموینې ډیټا وکاروي. ### 8.2 پیچ کول او د مداخلې تفتیش مختلف دندې دي د غیر معمولي کوډ کولو غلطیتونو، کارګر/JVM کریشونو، شکمن فایل لیکلو، د ډایرکټر ډیټا بدلونونو، د تصدیق استثناء، د بهر څخه بهر غوښتنې، او د اعتباري کارونې ریکارډونو لپاره موجود لاګونه وګورئ. دا نښې باید په شرایطو کې قضاوت وشي: حادثه یا OOM د بریالي استخراج ثبوت ندی. د خبرتیا نشتوالی دا نه ثابتوي چې سیسټم اغیزمن نه و. کله چې غیر مجاز تعدیلات، موافقت شوي اسناد، یا تایید شوي ناوړه انحصارونه وموندل شي، شواهد باید وساتل شي، اړونده مثالونه جلا شي، اغیزمن شوي اسناد د باور وړ چاپیریال څخه وګرځول شي، او سیسټم بیا جوړ شي. پیچ به هغه ټوکنونه لغوه نکړي چې د برید کونکي لخوا ترلاسه شوي وي یا هغه معلومات بیرته راولي چې ترمیم شوي وي. ## 9. د اکمالاتو سلسله امنیتي پیښه: LiteLLM 1.107.0 جوړجاړی \*\*د رسمي تایید نیټه: 2026-10-21.\*\*LiteLLM راپور ورکړ چې د هغې د خوشې کولو پایپ لاین سره جوړجاړی شوی. د PyPI **litellm==1.107.0** او د ورته مودې ځینې Docker/GHCR محصولات پټ غلا او د ریموټ کنټرول ناوړه کوډ لري، او اړوند محصولات بیرته اخیستل شوي. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) د اغیزو د ټاکلو لپاره، تاسو باید د تاریخي نصب ریکارډونه او د عکس هضم وګورئ؛ لیبلونه لکه `latest`، `main-latest`، او `main-stable` اوس پاکو عکسونو ته اشاره کوي، کوم چې دا نه ثابتوي چې د پیښې په وخت کې ایستل شوي محصولات پاک وو. په هغه وخت کې رسمي سپارښتنه دا وه چې په لنډمهاله توګه **1.106.2** پن کړئ؛ دا سپارښتنه د دې پیښې پر بنسټ وه، او نور امنیتي اعلانونه لاهم اړتیا لري چې د ګمارنې پرمهال وڅیړل شي. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) د چاپیریال لپاره چیرې چې اړوند محصولات نصب شوي یا چلول شوي: 1. د نصبولو ریکارډونه، انځورونه، او لاګ جلا کړئ او خوندي کړئ، او د پاک چاپیریال څخه یې معاینه کړئ. 2. **لومړی په شکمن چاپیریال کې Python/pip** پیل مه کوئ؛ ناوړه `.pth` / `sitecustomize.py` ممکن د پیل څخه وروسته بیا اجرا شي. 3. د باوري سرچینو څخه کوربه ، venvs / کانټینرونه بیا جوړ کړئ؛ نشي کولی یوازې پیکجونه غیر نصب یا ښکته کړي. 4. د ریښتیني لاسرسي پراساس د کلاوډ اسناد ، د LLM چمتو کونکي کیلي ، LiteLLM کیلي او ډیټابیس اسناد لغوه کړئ او غیر معمولي کارونې بیاکتنه وکړئ. [S41](https://keendigit.com/ps/insights/node-java-python-security-remediation-guide#source-41) دا د اکمالاتو سلسله تایید شوې پیښه ده او د ناوړه کوډ اجرا کولو ، د اعتبار لیک لیک ، او دوام خطرونو ته اړتیا لري کله چې ورسره معامله وکړئ. د اکتوبر 23، 2026 پورې، چارواکو لاهم د ابتدايي مداخلې په اړه تحقیقات کول. ## ضمیمه: حواله شوي سرچینې او لینکونه د لاندې سرچینې تایید نیټه **2026-10-23** ده، په شمول د پروژې رسمي امنیتي اعلان، د رسمي کوډ ذخیره او د پلورونکي لارښوونې. اصلي متن \[Sx] د دې ضمیمې سره مطابقت لري؛ کله چې تازه معلومات ترسره کوئ، تاسو باید وګورئ چې ایا عرضه کوونکي وروسته بیاکتنې خپرې کړي. ### S1 — Node.js: 2026-10-21 امنیتي خبرتیا - موخه: څلور دوره High، شاخونه اغیزمن کوي، د اکتوبر امنیت خوشې کول. - سرچینه: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 - Node.js: د درې ساتنې لینونو لپاره رسمي خوشې لارښوونې - موخه: 22.23.4، 24.22.1، 26.12.1 او اصلي یوځای شوي پیچ چیک کړئ. - سرچینه: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - سرچینه: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - سرچینه: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 - Vercel: Node.js Brotli RCE امنیتي مشوره - موخه: د کور دننه / بهر ته د کوډ کولو شرایط، WAF د پوښښ حد، Node 20 حالت. - سرچینه: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Brotli رسمي پیچ سپارل - موخه: د اصلي کوډ کولو چک کولو او د غلطو تبلیغاتو لپاره د تطبیق اساس. - سرچینه: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: TLS پته نورمال کولو پیچ - موخه: د بشپړ چوکۍ شمیرې او غیر معیاري IP تصدیق تصدیق. - سرچینه: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - سرچینه: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: DNS NUL تایید پیچ - موخه: د ننوتلو رد کول او د راجستریشن پوښښ. - سرچینه: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: 2026-07-29 امنیتي خبرتیا - موخه: HTTP/2 حافظه ختمول، UAF او د اجازې ماډل زیانونه. - سرچینه: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: 2026-10-14 امنیتي تازه معلومات - موخه: د اپ گریڈ اساسات او درې کلیدي خطرونه متحد کړئ. - سرچینه: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### سرچینه: S9 — Next.js：typed arrays / use cache RCE - موخه: GHSA-673q-mjm6-r5xr; وقفه، حالت، نمرې او د حل حالت اغیزه کوي. - سرچینه: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### سرچینه: S10 — React：React Server Components RCE - موخه: GHSA-xqc2-xf4c-x3h3; د دریو RSC کڅوړو اغیزمنې او ثابتې نسخې. - سرچینه: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### سرچینه: S11 — Next.js：SVG Image Optimization RCE - موخه: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc، تیز او اصلي نسخه حدود. - سرچینه: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### سرچینه: S12 — Next.js：Server Actions DoS - موخه: GHSA-p3m5-59mp-jv5r; شرایط، نسخې او درجه بندي اغیزه کوي. - سرچینه: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF د انځور اصلاح RCE - موخه: 2026-08-25، GHSA-2xp9-vwfh-vxw4. - سرچینه: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### سرچینه: S14 — Next.js：Windows RCE - موخه: 25-08-2026، CVE-2026-75604/GHSA-p293-qw3h-jr36. - سرچینه: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### سرچینه: S15 — Next.js：next/og ImageResponse RCE - موخه: 2026-09-22, GHSA-vcvr-r3jv-pc5j; د Node او Edge ترمنځ توپیر. - سرچینه: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - سرچینه: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### سرچینه: S16 — Oracle: October 2026 CPU - موخه: Java SE خطر میټرکس، د پیچ مقدار او د تطبیق وړ شرایط. - سرچینه: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - سرچینه: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 د بینډ څخه بهر الارم - موخه: 2026-10-21، JSSE سند اعتماد خطر، اغیزمن شوي محصولات او CVSS 3.1 9.1. - سرچینه: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK رسمي نسخه او ډاونلوډ کړئ - موخه: د اکتوبر په 20 نیټه د CPU او د اکتوبر په 21 نیټه د بانډ څخه بهر نسخه ترمنځ توپیر وکړئ؛ د Java 8 د لنډې نسخې محدودیتونه توپیر کړئ. - سرچینه: [JDK release list](https://ops.java/releases/) - سرچینه: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra لنډمهاله وتلو پلان - موخه: تازه شوی 2026-10-22; دوه روټ سندونه، کیټوول، دودیز باور پلورنځي، او د ردولو چک کول. - سرچینه: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 - Eclipse Adoptium: د جوړولو ریکارډ خپور کړئ - موخه: Temurin د سند پیښې له امله له سره بسته شوی؛ د Oracle نسخه ضمیمه په میخانیکي ډول نشي پلي کیدی. - سرچینه: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Apache Tomcat 9 امنیت خبرتیا - موخه: د 9.0.123 فکس سره د 9 شاخ دقیق اغیزمن وقفه. - سرچینه: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Apache Tomcat 10 امنیت خبرتیا - موخه: 10.1 شاخ دقیق وقفه او د 10.1.61 ترمیم؛ 10.0 EOL. - سرچینه: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Apache Tomcat 11 امنیت خبرتیا - موخه: درې توکي Important، 11.0.27، AJP د تطبیق وړ ساحه او د افشا کولو / خپریدو نیټه. - سرچینه: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 - Apache Tomcat: JNDIRealm پیچ ژمنې - موخه: د تصدیق تصدیق تشو ترمیم لپاره رسمي اساس. - سرچینه: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### سرچینه: S25 — Spring：GraphQL CVE-2026-59285 - موخه: 2026-08-20، اړین، 2.0.5 OSS / 2.0.4.1 سوداګریز ترمیم. - سرچینه: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### سرچینه: S26 — Spring：GraphQL CVE-2026-41699 - موخه: یو پخوانی فکس حد، یوازې د دې لپاره چې تشریح کړئ چې ولې تاسو نشئ کولی په زاړه اساس کې پاتې شئ. - سرچینه: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### سرچینه: S27 — Spring Security：CVE-2026-59270 - موخه: UnboundID LDAP شامل کړئ، پیژندل شوی مدیریت پیژندنه او د OSS/تجارتي نسخه توپیر کړئ. - سرچینه: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### سرچینه: S28 — Spring Security：CVE-2026-47841 - موخه: WebAuthn د کارونکي تصدیق، د سیشن سیریل کول او د برید اساس. - سرچینه: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 خپلواکه امنیتي مشوره - موخه: 2026-09-30، Critical، SNI شرایط او لنډمهاله اقدامات د SSLContext لخوا حواله شوي. - سرچینه: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 خپلواکه امنیتي مشوره - موخه: 2026-09-30، High، د کوربه نوم ورکول او واضح پیرامیټر کمول. - سرچینه: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 — CPython: wrap\_bio رسمي پیچ او 3.12 بیک پورټ - موخه: 3.10 — 3.12 د خبرتیا مطابقت پالیسي، د None او خالي تار ترمنځ توپیر. - سرچینه: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - سرچینه: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - سرچینه: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 خپلواکه امنیتي مشوره - موخه: 2026-09-14، High، د لینک ترکیب، د میټاډاټا ترمیم او د منځپانګې افشا کول. - سرچینه: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 - CPython: د سپتمبر په پای کې / د اکتوبر په پیل کې رسمي امنیت خپور شوی - موخه: د ټارفیل ځانګړي مسلو لپاره لږترلږه فکس نسخه، د سرچینې کوډ ویشلو طریقه او 3.14 معافیت. - سرچینه: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - سرچینه: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - سرچینه: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - سرچینه: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - سرچینه: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 - CPython: 3.10 وروستی خوندي خوشې - موخه: 3.10.22 او د پورته ژوند دوره پای. - سرچینه: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: 2026-10-21 د بیړنۍ ساتنې نسخه - موخه: 3.13.17 / 3.14.9 / 3.15.1، جوړ شوی pip او certifi تازه، د موجوده venv اړتیاوې. - سرچینه: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - سرچینه: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - سرچینه: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: emSign سند بې باوري اعلان - موخه: 2026-10-20، GHSA-6q48-6c7w-9gw2، Critical، نه پیژندل شوی CVE. - سرچینه: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: د Python کاروونکو باندې د eMudhra / emSign اغیزې - موخه: certifi .19 سپارښتنه، pip/uv بیس لاین، د SHA-256 سره د بوټ اپ گریڈ باوري قوماندې. - سرچینه: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) د pip بوټ اپ گریڈ کمانډ د رسمي لارښوونو لخوا چمتو شوی چې د S37 لخوا حواله شوی په لاندې ډول دی. یوازې په Python چاپیریال کې کارول کیدی شي چې د باور وړ وي؛ که چیرې په 9 برخه کې د مسموم کیدو شک شتون ولري، لومړی د پیښې پروسې سره سم جلا کړئ او بیا جوړ کړئ. دا د ویل مینځپانګې هش حل کوي او وروسته د پروژې پروسې سره سم نور انحصارونه تازه کوي. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 - Django: 2026-08-04 خوندي خوشې - کارول: CVE-2026-15307، GeoDjango د استخراج شرایط، ابتدايي اصلاحات او د مطابقت بدلونونه. - سرچینه: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 - Django: 2026-10-06 خوندي خوشې کول - موخه: CVE-2026-87890، جیومیټری DoS د اوسني ټاکل شوي بیس لاین سره وروسته تقویه کول. - سرچینه: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: وروستی tar\_filter اړخ یادښت - موخه: 2026-10-22, CVE-2026-114583 (Medium); د PR ادغام پدې معنی ندي چې د ساتنې رسمي نسخه خپره شوې. - سرچینه: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - سرچینه: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 — LiteLLM: د اکمالاتو د لړۍ رسمي راپور، د اکتوبر 21 - موخه: 1.107.0 ککړ شوي محصول، تاریخي هضم، د جلا کولو بیا رغونه او د اعتبار وړ ضایع کول. - سرچینه: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 - Google Brotli: رسمي خوندي نسخه - موخه: خپلواک Brotli 1.0.10 / 1.1.1 / 1.2.1 او د کراس ژبې سرایت شوي کاپي تصدیق اساس. - سرچینه: [Brotli releases](https://github.com/google/brotli/releases) ### S43 - غلط: د قوماندې رسمي اسناد وکاروئ - موخه: د نړیوال ترتیب د وسیلې نسخه او کمانډ سیمانټیک مشخص کړئ. - سرچینه: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 - PyPA: pip - د پلټنې رسمي پروژه - موخه: Python د انحصاري زیان مننې پلټنې هدف او وړتیا حدود. - سرچینه: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: د ترافیل استخراج فلټر سند - موخه: د معلوماتو ستراتیژي، د اصلي چلند بدلونونه، او محدودیتونه چې نشي کولی د شګو بکس بدل کړي. - سرچینه: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: منځمهاله CA ردولو میکانیزم - موخه: دا eMudhra اړوند د باور زنځیر پروسس کول د ټولو روټ سندونو کریپټوګرافیک باطلولو سره مساوي ندي. - سرچینه: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: SNI UAF تخنیکي یادښتونه او اصلاحات - موخه: د ژوند دورې حواله، د ځانګړي جوړونې شرایط او د شاخ شاته کول. - سرچینه: [official issue #156293](https://github.com/python/cpython/issues/156293) - سرچینه: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - سرچینه: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## د امنیت ساتنې مشورې ډاډه نه یاست چې د سند باور بدلون څنګه ستاسو سیسټمونه اغیزه کوي؟ موږ کولی شو د اغیزمنو پیرودونکو ارزولو کې مرسته وکړو او امنیتي تازه معلومات پلان کړو. [د امنیتي تازه معلوماتو په اړه بحث وکړئ]() [اصلي پاڼه]() · [د منځپانګې شاخص]() KeenDigit LLC · د وومینګ فایل کولو ID: 2026-002106155 [د وومینګ د بهرنیو چارو وزیر سره تایید کړئ]() © 2026 KeenDigit LLC · Sheridan, Wyoming, د امريکا متحده ايالات · ټول حقونه خوندي دي.