அக்டோபர் 23, 2026 அன்று சரிபார்க்கப்பட்ட ஆதாரங்கள் (UTC) கவரேஜ் காலம்: ஜூலை 25-அக்டோபர் 23, 2026, செப்டம்பர் முதல் அக்டோபர் வரையிலான புதிய அறிவிப்புகள் மற்றும் அடுத்தடுத்த இணைப்புகளில் கவனம் செலுத்துகிறது. பார்வையாளர்கள்: Node.js, Java, Python சேவைகள், கொள்கலன்கள், பைப்லைன்கள் மற்றும் மேம்பாட்டு சூழல்களை பராமரிக்கும் பொறியாளர்கள் மற்றும் பாதுகாப்பு பதிலளிப்பவர்கள்.

இந்தக் கட்டுரை Node.js, Java, மற்றும் Python இயக்க நேரங்கள், நிலையான நூலகங்கள் மற்றும் பொதுவான சர்வர் கட்டமைப்புகள் மற்றும் சார்புகளில் சமீபத்திய முக்கியமான பாதுகாப்பு அபாயங்களைச் சுருக்கமாகக் கூறுகிறது, மேலும் தாக்க நோக்கம், நிலையான பதிப்புகள், தற்காலிகத் தணிப்பு நடவடிக்கைகள், பேட்ச் தேர்வு மற்றும் சரிபார்ப்பு முறைகள் ஆகியவற்றை வழங்குகிறது.

கூறு பதிப்புகள், செயல்படுத்தப்பட்ட அம்சங்கள் மற்றும் அணுகக்கூடிய நுழைவு புள்ளிகளுக்கு எதிரான தாக்கத்தை மதிப்பிடுங்கள். பாதிப்பு உண்மைகள் உத்தியோகபூர்வ ஆலோசனைகளிலிருந்து வருகின்றன; முந்தைய பேட்ச் வெளியீடு வெளிப்படையாகக் குறிப்பிடப்படாவிட்டால், தேதிகள் பொது வெளிப்பாட்டைக் குறிக்கும். உறுதிப்படுத்தப்படாத சுரண்டல் நிலைமைகள், CVSS மதிப்பெண்கள் அல்லது காடுகளில் சுரண்டல் ஆகியவற்றை நாங்கள் ஊகிக்கவில்லை. வரிசைப்படுத்தல் ஆலோசனை, செயல்படுத்தல் வழிகாட்டியாக அடையாளப்படுத்தப்படுகிறது.

TL;DR: சரிசெய்தல் முன்னுரிமைகள்

  1. முதலில் சேவையை வழங்கும் இயக்க நேரத்தைப் புதுப்பிக்கவும். தொடர்புடையதைப் புதுப்பிக்கவும் Node.js குறைந்தபட்சம் கிளை 22.23.4 / 24.22.1 / 26.12.1 . பயன்படுத்தும் சேவைகள் Node 24 வரை மேம்படுத்த முடியும் 24.22.1 அதே பெரிய பதிப்பு அல்லது அதற்குப் பிந்தைய பதிப்பில் அதே திருத்தங்களைக் கொண்டுள்ளது. S1 S2
  2. புதுப்பிக்கவும் Node விண்ணப்ப சார்புகள் தனித்தனியாக. க்கு Next.js , பயன்படுத்தவும் 15.5.28 / 16.4.1 மேம்படுத்தல் அடிப்படையாக; பயன்படுத்தும் போது React Server Components சுயாதீனமாக, உண்மையான நிறுவப்பட்டதை சரிபார்க்கவும் react-server-dom-* தொகுப்பு. புதுப்பித்தல் மட்டுமே Node பைனரி இந்த கட்டமைப்பின் பாதிப்புகளை மறைக்காது. S8 S9 S10 S11 S12
  3. Java : புதுப்பிப்புகளின் இரண்டு சுற்றுகளையும் உள்ளடக்கியது. அக்டோபர் 20 இரண்டையும் உள்ளடக்கிய விற்பனையாளர் கட்டிடத்தை நிறுவவும் CPU மற்றும் அக்டோபர் 21 CVE-2026-91403 அவசர சான்றிதழ்-நம்பிக்கை திருத்தம். பகுதியைப் பார்க்கவும் 2.2 க்கான Oracle JDK 11 -27 அவுட்-ஆஃப்-பேண்ட் பதிப்புகள்; பிற விநியோகங்களை அவற்றின் சொந்த பாதுகாப்பு தொகுப்புகள் மற்றும் முழு உருவாக்க எண்களுக்கு எதிராக சரிபார்க்கவும். தொடர்புடையதைப் புதுப்பிக்கவும் Tomcat கிளைக்கு 9.0.123 / 10.1.61 / 11.0.27 . S16 S17 S18 S20 S21 S22 S23
  4. Python : மொழிபெயர்ப்பாளர், பயன்பாட்டு தொகுப்புகள் மற்றும் சான்றிதழ் தொகுப்புகளை தனித்தனியாக புதுப்பிக்கவும். பகுதியைப் பார்க்கவும் 2.3 மொழிபெயர்ப்பாளர் அடிப்படைகளுக்கு; certifi பரிந்துரைக்கிறது ≥ 2026.10.19 , pip ≥ 26.2.2 , பயன்படுத்தும் போது uv ≥ 0.13.4 . தற்போதுள்ள ஒவ்வொரு வென்வியும் சரிபார்க்கப்பட வேண்டும். க்கு wrap_bio() தொடர்புடைய குறியீடுகள், சரியான மற்றும் காலியாக இல்லை server_hostname மேலும் அனுப்பப்பட வேண்டும். S29 S30 S31 S33 S35 S36 S37
  5. உடனடி மேம்படுத்தல் சாத்தியமில்லை என்றால், தொடர்புடைய நுழைவுப் புள்ளிகளில் வெளிப்பாட்டைக் குறைக்கவும். நம்பிக்கையற்றதை நிறுத்துவதற்கு முன்னுரிமை கொடுங்கள் Brotli டிகோடிங், பாதிக்கப்பட்ட படம்/பேஜிங்/காப்பகப்படுத்துதல் செயலாக்கம் மற்றும் சிக்கலைத் தனிமைப்படுத்துதல் LDAP அல்லது அங்கீகார உள்ளீடுகள்; வைத்து TLS சான்றிதழ்கள் மற்றும் ஹோஸ்ட்பெயர்கள் சரிபார்க்கப்பட்டன. உள்வரும் WAF தீங்கிழைக்கும் சுருக்கப்பட்ட பதில்களை இழுக்கும் பயன்பாடுகள் போன்ற வெளிச்செல்லும் பாதைகளை மறைக்க முடியாது. S3 S11 S25 S27 S30 S32
  6. மீண்டும் கட்டமைக்கவும், பழைய செயல்முறைகளை மாற்றவும் மற்றும் உண்மையான சேவை பாதைகள் மூலம் சரிபார்க்கவும். பூட்டு கோப்பு மற்றும் பட செரிமானத்தை சேமிக்கவும், பயன்பாடு மற்றும் படத்தை மீண்டும் உருவாக்கவும், அனைத்து பணியாளர்கள்/JVM/கன்டெய்னர்களுக்கான மாற்றீடுகளை வெளியிடவும்; உண்மையான செயல்முறை, சார்பு மரம், அறக்கட்டளை மற்றும் வணிக பின்னடைவு சோதனைகளை சரிபார்க்கவும். ஒரு புதிய கட்டளை வரி பதிப்பு மட்டும் சரிசெய்தல் முடிந்தது என்பதை நிறுவவில்லை.
  7. ILiteLLM 1.107.0 நிறுவப்பட்டாலோ அல்லது இயக்கப்பட்டாலோ, சம்பவ-பதில் நடைமுறைகளைப் பின்பற்றவும். அக்டோபர் 21 அன்று வெளியிடப்பட்ட சமரசத்தை இந்தத் திட்டம் உறுதிப்படுத்தியது. பாதிக்கப்பட்ட சூழல்களைத் தனிமைப்படுத்தவும், தூய்மையான சூழலில் இருந்து விசாரணை செய்யவும், வெளிப்படும் சான்றுகளை மீண்டும் உருவாக்கவும் மற்றும் சுழற்றவும். சந்தேகத்திற்கிடமான சூழலில் Python/pip ஐ முதலில் சரிபார்க்கத் தொடங்க வேண்டாம். விவரங்களுக்கு பிரிவு 9 ஐப் பார்க்கவும். S41

1. பாதிப்பு மேலோட்டம் மற்றும் இடர் மதிப்பீடு

1.1 உண்மையான வெளிப்பாடு மூலம் தீர்வுக்கு முன்னுரிமை கொடுங்கள்

கீழே உள்ள வரிசைப்படுத்தல் முன்னுரிமைகள் செயல்படுத்தல் வழிகாட்டுதல் ஆகும். Apache இன் Important மதிப்பீடு உட்பட ஒவ்வொரு விற்பனையாளரையும் தீவிர லேபிள்கள் பின்பற்றுகின்றன. CVSS 3.1 மற்றும் 4.0 ஆகியவை வெவ்வேறு ஸ்கோரிங் அமைப்புகள்; மதிப்பெண்களை வைத்து மட்டும் பிரச்சினைகளை வரிசைப்படுத்த வேண்டாம்.

சுற்றுச்சூழல் அமைப்பு / அடுக்குமுக்கிய பிரச்சினைகள்அதிகாரப்பூர்வ தரம் அல்லது சரிபார்க்கப்பட்ட மதிப்பெண்முன்னுரிமை வரிசைப்படுத்தல்
Node.js சொந்த சார்புCVE-2026-111497: Brotli வரம்புக்கு வெளியே எழுதப்பட்டது, மேலும் RCE ஆபத்து உள்ளதுNode：Highவெளிப்புற கோரிக்கை அமைப்பு அல்லது வெளிப்புற பதிலில் Brotli தரவு S1S3 டிகோட்
Node.js TLS / DNSCVE-2026-105482, 105483, 106069: பாகுபடுத்துதல் மற்றும் அடையாள சரிபார்ப்பு ஆகியவை சீரற்றவைHighURL கிரால், ப்ராக்ஸி, Webhook, டைனமிக் இலக்கு முகவரி S1S5S6
Node.js HTTP/2CVE-2026-56846, 56848: நினைவகம் தீர்ந்துவிட்டது மற்றும் UAFHighNode நேரடியாக நம்பத்தகாத HTTP/2 போக்குவரத்தை கையாளுகிறது S7
React / Next.jsRSC / use cache typed arrays RCECritical；CVSS 4.0 9.5சர்வர் RSC, தொடர்புடைய கேச் கூறுகள் மற்றும் தரவு பாதை S9S10
Next.js பட தேர்வுமுறைCVE-2026-96889: SVG பட செயலாக்கம் RCECritical；CVSS 4.0 9.5glibc Linux இல் நம்பத்தகாத படங்களைக் கையாளக்கூடிய நிகழ்வுகள் S11
Next.js Server Actionsசிறப்பாக வடிவமைக்கப்பட்ட கோரிக்கை CPU தீர்ந்துவிடும்High；CVSS 4.0 8.2App Router மற்றும் குறைந்தது ஒரு Server Action S12
Java TLS அறக்கட்டளைCVE-2026-91403: பாதிக்கப்பட்ட இடைநிலை CA ஐத் தொடர்ந்து நம்புங்கள்CVSS 3.1 9.1பாதிக்கப்பட்ட நம்பிக்கைச் சங்கிலியைப் பயன்படுத்தும் TLS/API காட்சி S17
TomcatJNDIRealm அங்கீகார பைபாஸ், HTTP/2 குறுக்கு கோரிக்கை கலவை-அப்கள், AJP பதில் கசிவுImportantRealm / Connector / async Servlet பாதை S21S22S23 உடன் தொடர்புடையது
Spring for GraphQLCVE-2026-59285: பேஜிங் டீரியலைசேஷன் RCEHighJackson 2 + Connection பேஜிங் + சுரண்டக்கூடிய கிளாஸ்பாத் S25
Spring SecurityCVE-2026-59270: உட்பொதிக்கப்பட்ட LDAP அறியப்பட்ட நிர்வாக அடையாளம் அம்பலமானதுCriticalஉட்பொதிக்கப்பட்ட LDAP இயக்கப்பட்டது மற்றும் கேட்கும் போர்ட்டை தாக்குபவர் S27 அணுக முடியும்
CPython sslCVE-2026-19445: SNI சூழல் மாறுதல் UAF இல் முடிவுகள்CriticalPython TLS ஐ தானே முடித்துக்கொள்கிறது, மேலும் சூழல் வாழ்க்கை சுழற்சி நிபந்தனையை சந்திக்கிறது S29
CPython sslCVE-2026-19553: ஹோஸ்ட் பெயர் இல்லாதபோது சரிபார்ப்பைத் தவிர்க்கவும்Highwrap_bio() / தொடர்புடைய அசின்சியோ அழைப்பு இல்லை எதிர்பார்க்கப்படும் ஹோஸ்ட்பெயர் S30
CPython tarfileCVE-2026-82049: கடின இணைப்பு மற்றும் குறியீட்டு இணைப்பு சேர்க்கை பைபாஸ்Highநம்பத்தகாத தார் காப்பகமான S32 தானாக பிரித்தெடுக்கவும்
Django / GeoDjangoCVE-2026-15307: இடஞ்சார்ந்த வினவல் எழுதும் கோப்பு, SSRF, RCE நிபந்தனையின் கீழ்Highஇடஞ்சார்ந்த வினவல்கள் அல்லது தொடர்புடைய நிர்வாக இடைமுகங்கள் நம்பத்தகாத உள்ளீட்டை ஏற்றுக்கொள்கின்றன S38
Python சான்றிதழ் சார்புcertifi: emSign தொடர்பான சான்றிதழ் அவநம்பிக்கைCritical; GHSA, எதுவும் தெரியவில்லை CVETLS கிளையன்ட் மற்றும் தொகுப்பு மேலாண்மை கருவி S36S37 இன்னும் பாதிக்கப்பட்ட CA bundle ஐப் பயன்படுத்துகிறது

சுருக்கங்கள்: RCE என்பது ரிமோட் கோட் எக்ஸிகியூஷனைக் குறிக்கிறது, UAF என்பது பயன்பாட்டிற்குப் பிறகு-இலவசத்தைக் குறிக்கிறது, மற்றும் SSRF என்பது சர்வர்-பக்கம் கோரிக்கை மோசடியைக் குறிக்கிறது. RCE இன் நேரடி அனுமதிகள் பொதுவாக பயன்பாட்டை ஹோஸ்ட் செய்யும் செயல்முறையின் அனுமதிகள் மற்றும் தானாகவே ரூட் அனுமதிகளுக்கு சமமாக இருக்க முடியாது.

பரிந்துரைக்கப்பட்ட வரிசை: முதலில் RCE கையாளுகிறது, இது வெளிப்புறமாக அணுகக்கூடியது மற்றும் நிபந்தனைகள், அங்கீகார பைபாஸ், குறுக்கு-பயனர் தரவு கசிவு மற்றும் சான்றிதழ் அங்கீகார சிக்கல்களை சந்திக்கிறது; அதே நேரத்தில், பொதுமக்கள் எதிர்கொள்ளும் DoS நுழைவுப் புள்ளிக்கான புதுப்பிப்புகளைத் திட்டமிடுங்கள். சுரண்டலை நிரூபிக்க உற்பத்தியில் தாக்குதல் பேலோடுகளை இயக்க வேண்டிய அவசியமில்லை. சார்புகள் உள்ளன, குறியீடு பாதைகள் அணுகக்கூடியவை மற்றும் தாக்குதல் நிலைமைகள் பூர்த்தி செய்யப்படுகின்றன. இவை மூன்றும் தனித்தனியாகச் சரிபார்க்கப்பட வேண்டியவை.

1.2 மூன்று எளிதில் குழப்பமான எல்லைகள்

  • இயக்க நேரங்களையும் சார்புகளையும் தனித்தனியாக மேம்படுத்தவும். பாதுகாப்பு புதுப்பிப்புகள் Node , JDK , CPython இன் தனித்த நிறுவல்களை தானாக சரி செய்யாது Next.js , Spring , Django , certifi அல்லது சொந்த நீட்டிப்புகள்.
  • remediation threshold தற்போதைய வரிசைப்படுத்தல் அடிப்படையிலிருந்து தனித்தனியாக உள்ளது. ஆகஸ்டில் ஏற்படும் பாதிப்புக்கான முதல் இணைப்பு செப்டம்பர் முதல் அக்டோபர் வரையிலான புதிய சிக்கல்களுக்கு உத்தரவாதம் அளிக்கப்படவில்லை; பிரிவு 2 செயல்படுத்தல் இலக்காக சரிபார்க்கப்பட்ட அடுத்தடுத்த புதுப்பிப்புகளைப் பயன்படுத்துகிறது.
  • உண்மையான விநியோகச் சங்கிலி சமரசத்திலிருந்து ஒரு பாதிப்பை வேறுபடுத்துங்கள். பொதுவான பாதிப்புகளுக்கு, திட்டுகள் எதிர்கால தாக்குதல் பாதைகளை நீக்குகின்றன; தீங்கிழைக்கும் தொகுப்புகள் இயக்கப்பட்டால், நற்சான்றிதழ்கள் மற்றும் நிலைத்தன்மையின் தாக்கம் ஆராயப்பட வேண்டும். பிரிவு 9 இன் LiteLLM அதிகாரப்பூர்வமாக உறுதிப்படுத்தப்பட்ட நிகழ்வாகும். S41

காடுகளில் உறுதிசெய்யப்பட்ட சுரண்டல்கள் உள்ளனவா என்பது உத்தியோகபூர்வ வெளிப்பாடுகளின் அடிப்படையில் இருக்க வேண்டும். விற்பனையாளர் சுரண்டல் நடவடிக்கைகளை குறிப்பிடவில்லை மற்றும் தாக்குதல் இல்லை என்று நிரூபிக்க முடியாது; உண்மையான தாக்குதல் மேற்பரப்பின் அடிப்படையில் சரிசெய்தல் செய்யப்பட வேண்டும்.

2. நிலையான பதிப்பு மற்றும் வரிசைப்படுத்தல் அடிப்படையின் விரைவான சரிபார்ப்பு

மேற்கோள்: 2.1 Node.js、React、Next.js

கூறு/கிளைபரிந்துரைக்கப்பட்ட பதிப்பு அடிப்படைபயன்பாட்டிற்கான வழிமுறைகள்
Node.js 22.x22.23.4அக்டோபர் 21 அன்று S1S2 பாதுகாப்பு வெளியீடு
Node.js 24.x24.22.124.x கிளைக்கு பொருந்தும்; 24.22.0 இல் அக்டோபர் 21 பாதுகாப்பு இணைப்பு S1S2 இல்லை
Node.js 26.x26.12.1அதே தொகுதியில் பாதுகாப்பு வெளியீடு S1S2
Node.js 20 மற்றும் முந்தைய அப்ஸ்ட்ரீம் கிளைகள்ஆதரிக்கப்படும் கிளைக்கு மாற்றவும்Node 20 இந்த அப்ஸ்ட்ரீம் திருத்தத்தை ஏற்கவில்லை; விற்பனையாளர் நீட்டிக்கப்பட்ட ஆதரவு S3 தனித்தனியாக சரிபார்க்கப்பட வேண்டும்
Next.js 15.x15.5.28அக்டோபர் 14 S8 அன்று புதுப்பிக்கப்பட்டது
Next.js 16.x16.4.1மேலே உள்ள S8
தனிப்பட்ட RSC 19.0 / 19.1 / 19.2 / 19.3 கிளை19.0.9 / 19.1.10 / 19.2.9 / 19.3.1மூன்று react-server-dom-* தொகுப்புகளை தனித்தனியாக சரிபார்க்கவும்; மேல் அடுக்கை மட்டும் பார்க்க வேண்டாம் react S10
Next உண்மையில் sharp ஏற்றப்பட்டது≥0.35.5SVG பாதிப்புக்கான அதிகாரப்பூர்வ தற்காலிக சரிசெய்தல் நிபந்தனைகள்; மற்ற Next.js இணைப்புகளை மாற்றாது S11

Node அக்டோபர் பாதிப்புக்கான பாதிக்கப்பட்ட பராமரிப்பு கிளைகளை அதிகாரப்பூர்வமாக பட்டியலிடுகிறது, ஆனால் ஆரம்பத்தில் அறிமுகப்படுத்தப்பட்ட பேட்ச் பதிப்பு உருப்படியை உருப்படி வாரியாக வழங்கவில்லை, எனவே ஒவ்வொரு பாதிப்பின் துல்லியமான தொடக்க பதிப்பையும் பராமரிப்பு கிளை வரம்பின் அடிப்படையில் மட்டும் தீர்மானிக்க முடியாது. வரிசைப்படுத்தும்போது, ​​அதே கிளையின் மேலே உள்ள பதிப்பு அல்லது அதே திருத்தங்களைக் கொண்டிருப்பதாக உறுதிப்படுத்தப்பட்ட அடுத்தடுத்த பதிப்பைப் பயன்படுத்துவதற்கு முன்னுரிமை கொடுங்கள்.

2.2 Java: அக்டோபர் CPU மற்றும் அவுட்-ஆஃப்-பேண்ட் சான்றிதழ் புதுப்பிப்பு

இந்த அட்டவணை Oracle JDK க்கு பொருந்தும். இரண்டாவது நெடுவரிசை அக்டோபர் 20 CPU ஐ மட்டுமே உள்ளடக்கியது; மூன்றாவது அக்டோபர் 21 இல் இசைக்குழுவிற்கு வெளியே வெளியிடப்பட்டது. CPU பதிப்புகள் மட்டும் இங்கு விவாதிக்கப்பட்ட அனைத்து Java அபாயங்களையும் உள்ளடக்காது. S16S17S18

கிளைஅக்டோபர் 20 CPUOracle இசைக்குழுவிலிருந்து அக்டோபர் 21 அன்று வெளியிடப்பட்டது
1111.0.3311.0.33.0.2
1717.0.2117.0.21.0.2
2121.0.1321.0.13.0.2
2525.0.525.0.5.0.2
2727.0.127.0.1.0.2
88u511பொது வெளியீட்டு அட்டவணை இன்னும் 8u511 காட்டுகிறது; குறிப்பிட்ட பாதுகாப்பு உருவாக்கம் மற்றும் நம்பிக்கை சங்கிலி பழுதுபார்ப்பு சரிபார்க்கப்பட வேண்டும், மேலும் குறுகிய பதிப்பு எண்ணின் அடிப்படையில் மட்டும் தீர்மானிக்க முடியாது

**Java 8 முழு உருவாக்கத் தகவலுக்கு எதிராகச் சரிபார்க்கப்பட வேண்டும்:**Oracle எச்சரிக்கையானது 8u511 ஐ பாதிக்கப்பட்ட பதிப்பாக பட்டியலிடுகிறது, மேலும் வெளியீட்டுப் பட்டியல் அதே குறுகிய பெயருடன் அடுத்தடுத்த புதுப்பிப்புகளை பட்டியலிடுகிறது. “8u511” குறுகிய பதிப்பு எண்ணின் அடிப்படையில் மட்டும் பேட்ச் நிலையை வேறுபடுத்த முடியாது. குறிப்பிட்ட பாதுகாப்பு உருவாக்கம் மற்றும் நம்பிக்கைச் சங்கிலித் திருத்தங்களை நீங்கள் உறுதிப்படுத்த வேண்டும். S17S18

Temurin , Corretto , Zulu , Microsoft Build of OpenJDK , வெளியீடு பதிப்பு OpenJDK , முதலியன, அந்தந்த அறிவிப்புகள் மற்றும் முழுமையான தொகுப்பு/கட்டமைப்பு எண்களின் படி சரிபார்க்கவும். எடுத்துக்காட்டாக, அதிகாரப்பூர்வ வெளியீட்டு பதிவு Adoptium தொடர்புடைய உருவாக்கம் சேர்ப்பதற்காக மீண்டும் தொகுக்கப்பட்டுள்ளது என்று கூறுகிறது eMudhra சரி; அப்ஸ்ட்ரீம் பதிப்பின் அதே பெயர், தொகுப்பு உள்ளடக்கம் ஒன்றுதான் என்று அர்த்தம் இல்லை. தி .0.2 பின்னொட்டு விதிகள் Oracle மற்ற வெளியீட்டாளர்களுக்கு இயந்திரத்தனமாகப் பயன்படுத்த முடியாது. S20

Java பயன்பாட்டு கூறுகள்பரிந்துரைக்கப்பட்ட பதிப்பு அடிப்படைகருத்துக்கள்
Tomcat 9 / 10.1 / 119.0.123 / 10.1.61 / 11.0.27கிளை வாரியாக சரிபார்க்கவும்; Tomcat 10.0 பராமரிப்பை நிறுத்திவிட்டது S21S22S23
Spring for GraphQL 2.0.x2.0.5（OSS）வணிக ஆதரவும் 2.0.4.1 S25
Spring Security 7.1 / 7.07.1.1 / 7.0.7（OSS）ஆகஸ்டில் அறிவிக்கப்பட்ட குறைந்தபட்ச சரிசெய்தல் பதிப்புடன் ஒத்துப்போகிறது; வரிசைப்படுத்துவதற்கு முன் நீங்கள் S27S28 பாதுகாப்பு புல்லட்டின் சரிபார்க்க வேண்டும்
Spring Security 6.5 / 6.4 / 5.8 / 5.76.5.12 / 6.4.19 / 5.8.28 / 5.7.26அறிவிப்பு வணிக ஆதரவு திருத்தமாக பட்டியலிடப்பட்டுள்ளது; பொருத்தமான ஆதரவு இல்லாதபோது இடம்பெயர்வு மதிப்பிடப்படுகிறது, மேலும் Maven Central இலவச S27 க்கு கிடைக்கிறது என்று கருத முடியாது

Spring மேம்படுத்தல்கள் திட்டத்தின் Spring Boot BOM, Java குறைந்தபட்ச பதிப்பு மற்றும் பொருந்தக்கூடிய வரிகளை மதிக்க வேண்டும். ஒரு இணைப்பு பெறுவதற்காக அனைத்து Spring தொகுதிகளையும் ஒரே எண்ணுக்கு நேரடியாக கட்டாயப்படுத்த வேண்டாம்.

2.3 CPython, Django மற்றும் சான்றிதழ் சார்புகள்

கீழே உள்ள அட்டவணையின் இரண்டாவது நெடுவரிசையானது செப்டம்பரில் வெளியிடப்பட்ட TLS இதழில் கவனம் செலுத்துகிறது; tarfile க்கான கிளை வேறுபாடுகள் 5.3. பிரிவில் காட்டப்பட்டுள்ளன அக்டோபர் 21 வெளியீடுகள் தொகுக்கப்பட்ட சான்றிதழ் கருவிகளையும் புதுப்பிக்கின்றன, எனவே கடைசி நெடுவரிசையில் அந்த பிந்தைய வரிசைப்படுத்தல் அடிப்படைகள் அடங்கும். S29S30S33S35

CPython கிளைசெப்டம்பர் பாதுகாப்பு தொகுதி குறைந்தபட்ச பதிப்புபரிந்துரைக்கப்பட்ட வரிசைப்படுத்தல் அடிப்படை
3.103.10.22அப்ஸ்ட்ரீமில் இருந்து கடைசியாக வெளியிடப்பட்டது, EOL; இடம்பெயர்வு ஏற்பாடு அல்லது வெளியீட்டு நீட்டிப்பு ஆதரவை சரிபார்க்கவும் S34
3.113.11.173.11.17, மற்றும் ஒவ்வொரு சூழலிலும் தனித்தனியாக pip/certifi புதுப்பிக்கவும்
3.123.12.153.12.15, மற்றும் ஒவ்வொரு சூழலிலும் தனித்தனியாக pip/certifi புதுப்பிக்கவும்
3.133.13.163.13.17
3.143.14.83.14.9
3.15இறுதி 3.15.0 வெளியீட்டில் TLS திருத்தங்கள் S31S47 இரண்டும் அடங்கும்3.15.1

3.11 மற்றும் 3.12 இன் அப்ஸ்ட்ரீம் பாதுகாப்பு பதிப்புகள் மூலக் குறியீட்டில் மட்டுமே வெளியிடப்படலாம்; இயக்க முறைமை தொகுப்பைப் பயன்படுத்தும் போது, ​​விற்பனையாளரின் பேக்போர்ட் ஆலோசனை மற்றும் முழுமையான தொகுப்பு பதிப்பைச் சரிபார்க்கவும், மேலும் Python கணினியை வலுக்கட்டாயமாக சுய-தொகுக்கப்பட்ட பதிப்பைக் கொண்டு மாற்ற வேண்டிய அவசியமில்லை. S33S34

சுயாதீன சார்புபரிந்துரைக்கப்பட்ட பதிப்பு அடிப்படைவிளக்கம்
Django 5.2 / 6.0 / 6.15.2.18 / 6.0.9 / 6.1.2அக்டோபர் 6 அன்று S38S39 அடுத்த திருத்தத்தை இணைக்கவும்
certifi≥2026.10.19GHSA ஆரம்ப இணைப்பு .18; PSF .19 ஐப் பரிந்துரைக்கிறது, S36S37
pip≥26.2.2certifi இன் உள்ளமைக்கப்பட்ட நகல் தனித்தனியாக புதுப்பிக்கப்பட வேண்டும் S35S37
uv (பயன்படுத்தினால்)≥0.13.4உண்மையான நிறுவல் முறையின்படி S37 ஐப் புதுப்பிக்கவும்

இந்த அடிப்படைகள் பட்டியலிடப்பட்ட திருத்தங்களை உள்ளடக்கியது. tar_filter இல் மற்றொரு நடுத்தர-தீவிர சிக்கல் அக்டோபர் 22 அன்று வெளியிடப்பட்டது. அக்டோபர் 23, 2026 நிலவரப்படி, இந்த திருத்தம் கொண்ட அதிகாரப்பூர்வ பராமரிப்பு பதிப்பு இன்னும் உறுதிப்படுத்தப்படவில்லை; எனவே, 3.13.17 / 3.14.9 / 3.15.1 அனைத்து tarfile சிக்கல்களையும் உள்ளடக்கியதாக கருத முடியாது. 5.4. S40 பகுதியைப் பார்க்கவும்

2.4 விநியோக பேக்போர்ட்களை சரிபார்க்கிறது

Ubuntu, Debian, RHEL மற்றும் பிற மென்பொருள் தொகுப்புகளுக்குப் பொருந்தும் நடைமுறைக் கொள்கைகள்:

  1. இயக்க முறைமை பதிப்பு, களஞ்சிய மூல, முழு தொகுப்பு பதிப்பு மற்றும் விற்பனையாளர் பாதுகாப்பு புல்லட்டின் எண் ஆகியவற்றை பதிவு செய்யவும்.
  2. ஆலோசனையானது குறிப்பிட்ட CVE ஐ உள்ளடக்கியது மற்றும் தொடர்புடைய விநியோக வெளியீட்டிற்கான நிலையான தொகுப்பை அடையாளம் காட்டுகிறது என்பதை உறுதிப்படுத்தவும்.
  3. அப்ஸ்ட்ரீம் குறுகிய பதிப்பு மட்டும் இல்லாமல், உண்மையான இயங்கும் செயல்முறையால் ஏற்றப்பட்ட பைனரிகள்/நூலகங்களை ஒப்பிடுக.
  4. விற்பனையாளர் இணைப்புக்கான எந்த ஆதாரமும் இல்லாதபோது, அதை “உறுதிப்படுத்தப்பட வேண்டும்” என்று விட்டுவிடுங்கள், மேலும் பதிப்பு எண் பழையதாகவோ அல்லது புதியதாகவோ தெரிகிறது என்ற ஒரே முடிவாக எடுத்துக்கொள்ளாதீர்கள்.

apt/RPM தொகுப்பு பதிப்புகள் மற்றும் வெவ்வேறு விநியோகங்களின் பேக்போர்ட் உத்திகளில் வேறுபாடுகள் உள்ளன. ஒவ்வொரு விநியோகத்தின் பாதுகாப்பு புல்லட்டின் மற்றும் முழுமையான தொகுப்பு பதிப்பு நிலவும்.

3. Node.js / JavaScript சுற்றுச்சூழல்: காரணங்களின் பகுப்பாய்வு மற்றும் தீர்வு

3.1 CVE-2026-111497: Brotli நேட்டிவ் டிகோடர் எல்லைக்கு வெளியே எழுதும்

வெளிப்படுத்தல்: 2026-10-21; Node அதிகாரப்பூர்வ தரம்: High. Node 22.x, 24.x, 26.x இன் பாதிக்கப்பட்ட பில்ட்களுக்கு 2.1 இணைப்புப் பிரிவை நிறுவ வேண்டும். Node அறிவிப்பு எண் CVSS மதிப்பெண்ணைப் பட்டியலிடவில்லை. S1

தவறான Brotli சுருக்கப்பட்ட ஸ்ட்ரீமைக் கையாளும் போது நேட்டிவ் டிகோடிங் தர்க்கத்தில் சிக்கல் ஏற்படுகிறது, இது வரம்புக்கு அப்பாற்பட்ட எழுத்துகளுக்கு வழிவகுக்கும். Vercel இன் அதிகாரப்பூர்வ விளக்கம், ஆராய்ச்சி ஆர்ப்பாட்டம் செயல்முறை நினைவக கசிவுகள் மற்றும் கட்டளை செயல்படுத்தல் ஆகியவற்றை உள்ளடக்கியது என்பதை உறுதிப்படுத்துகிறது. ஒரு தாக்குபவர் டிகோடரை அடைய முடியுமா என்பது பயன்பாடு அல்லது சார்பு உண்மையில் அது கட்டுப்படுத்தும் தரவை டிகோட் செய்கிறதா என்பதைப் பொறுத்தது. S3

இரண்டு திசைகளும் ஒரே நேரத்தில் சரிபார்க்கப்பட வேண்டும்:

  • inbound: The கட்டமைப்பு அல்லது மிடில்வேர் தானாகவே பயனர் சமர்ப்பித்த Brotli கோரிக்கைப் பிரிவைக் குறைக்கிறது.
  • **outbound:**HTTP கிளையண்ட்கள், படத்தை கிராப்பர்கள், முதலியன தாக்குபவர்-கட்டுப்படுத்தக்கூடிய ஆதாரங்களை அணுகி, திரும்பிய உள்ளடக்கத்தை தானாகவே சுருக்கவும்.

உலாவிகளுக்கு அனுப்பப்படும் பதில்களின் Brotli சுருக்கத்தை முடக்குவது டிகோடிங் நுழைவுப் புள்ளியை அகற்றாது. உள்வரும் WAF பாதுகாப்பு வெளிப்புற பதில்களைப் பெறுதல் மற்றும் டிகோடிங் பயன்பாடுகளை உள்ளடக்காது. S3

**Patch திசை:**Node Brotli அப்ஸ்ட்ரீம் பிழைத்திருத்தத்தை நேட்டிவ் டிகோடிங் நிலை சரிபார்ப்பு மற்றும் பிழை பரப்புதலுக்கு துணைபுரிகிறது. சுய-தொகுக்கப்பட்ட பதிப்பைப் பராமரிக்கும் போது, ​​நீங்கள் அதிகாரப்பூர்வ பாதுகாப்பு வெளியீடு அல்லது பொருந்தக்கூடிய கிளையின் முழுமையான பேட்சைப் பயன்படுத்த வேண்டும். JavaScript தொகுப்பின் பதிப்பு அறிக்கையை மட்டும் மாற்ற முடியாது. S4

இடைக்கால செயலாக்க பரிந்துரைகள்: தேவையற்ற நம்பகமற்ற Brotli டிகோடிங்கை நிறுத்துங்கள்; மிடில்வேர் மற்றும் HTTP கிளையண்டின் தானியங்கி டிகம்ப்ரஷன் நடத்தை சரிபார்க்கவும்; வணிகம் இந்த வடிவமைப்பை ஏற்க வேண்டும் என்றால், சீக்கிரம் இணைக்கப்பட்ட சூழலில் செயலாக்கத்தை முடிக்கவும். Accept-Encoding ஐச் சரிசெய்வது வெறும் பேச்சுவார்த்தைச் செயலாகும், மேலும் தீங்கிழைக்கும் பதில் தடுக்கப்பட்டது என்பதற்கான ஆதாரமாக தனியாக நிற்கக்கூடாது.

3.2 TLS / DNS மூன்று High: சரிபார்ப்பு பொருள் உண்மையான இலக்குடன் முரணாக உள்ளது

இம்மூன்றும் அக்டோபர் 21 அன்று வெளியிடப்பட்டது, 2.1. S1 பிரிவில் அதிகாரப்பூர்வ மேம்படுத்தல் வரம்பு அமைக்கப்பட்டுள்ளது

அடையாளங்காட்டிபிரச்சினை உறுதி செய்யப்பட்டதுபாதிக்கப்பட்ட கிளைகள்
CVE-2026-105482dns.resolve NUL கொண்ட பெயர்களின் துண்டிப்பு22.x / 24.x / 26.x
CVE-2026-105483முழு அகல எண் வடிவத்தில் IP ஆனது சான்றிதழ் ஹோஸ்ட்பெயர் சரிபார்ப்பைத் தவிர்க்கிறது24.x / 26.x
CVE-2026-106069IP என தளர்வாக விளக்கப்படும் ஹோஸ்ட்பெயர் TLS சரிபார்ப்பு பைபாஸில் விளைகிறது22.x / 24.x / 26.x

DNS பிரச்சனையின் சாராம்சம் என்னவென்றால், மேல் அடுக்கு மூலம் சரிபார்க்கப்பட்ட சரம் உண்மையில் கீழ் அடுக்கு மூலம் பாகுபடுத்தப்பட்ட பெயரிலிருந்து வேறுபட்டது. அதிகாரப்பூர்வ இணைப்பு, பாகுபடுத்தும் நுழைவில் NUL ஐ நிராகரித்து, பின்னடைவு கவரேஜைச் சேர்க்கிறது. S6

TLS இரண்டு உருப்படிகளில் பெயர் இயல்பாக்கம், IP விளக்கத்தின் நிலைத்தன்மை மற்றும் சான்றிதழ் பொருத்தம் ஆகியவை அடங்கும். உண்மையான IP இறுதிப்புள்ளியை சான்றிதழ் டொமைன் அடையாளத்துடன் குழப்புவதைத் தவிர்க்க, தரமற்ற IP உள்ளீடு நிராகரிக்கப்படும் அல்லது சரியாகக் கையாளப்படும்படி இணைக்கவும். S5

: க்கான உண்மையான சரிசெய்தல் பரிந்துரைகள், பெறும் பயனர் URL, டைனமிக் ப்ராக்ஸி இலக்கு அல்லது Webhook முகவரியைச் சரிபார்க்க முன்னுரிமை அளிக்கிறது; ஒருங்கிணைந்த தரப்படுத்தல் மற்றும் அனுமதி பட்டியல் தீர்ப்பு, NUL/கட்டுப்பாட்டு எழுத்துகளை நிராகரிக்கிறது, சட்டப்பூர்வ IPv4, IPv6 மற்றும் சர்வதேசமயமாக்கப்பட்ட டொமைன் பெயர்கள் இன்னும் செயல்படுகின்றன. SSRF ஐ மேலும் உருவாக்க முடியுமா என்பதற்கு இணைப்புச் சான்றுகளின் பயன்பாடு தேவைப்படுகிறது, இது CVE என்ற பெயரிலிருந்து நேரடியாகக் கழிக்க முடியாது.

மேம்படுத்தலுக்குப் பிந்தைய செக்சம் பிழைகளை அகற்ற NODE_TLS_REJECT_UNAUTHORIZED=0 அல்லது rejectUnauthorized: false ஐப் பயன்படுத்த வேண்டாம். முகவரி, சான்றிதழ் மற்றும் வணிக கட்டமைப்பு சரி செய்யப்பட வேண்டும்.

3.3 ஜூலை HTTP/2 High- ஆபத்து மற்றும் அனுமதி மாதிரி சிக்கல்கள்

ஜூலையில் வெளியிடப்பட்ட பின்வரும் சிக்கல்கள் இன்னும் விசாரணையில் சேர்க்கப்பட வேண்டும். வரிசைப்படுத்தும் போது, ​​2.1 பிரிவில் அக்டோபர் பாதுகாப்பு பதிப்பின் அடிப்படையை நேரடியாகப் பயன்படுத்த பரிந்துரைக்கப்படுகிறது. S7

CVEகாரணங்கள் மற்றும் விளைவுகள்முதல் நிலையான பதிப்பு
CVE-2026-56846தக்கவைக்கப்பட்ட HTTP/2 header தொகுதி maxSessionMemory பட்ஜெட்டில் சரியாக சேர்க்கப்படவில்லை மற்றும் நினைவகத்தை வெளியேற்றும்; தாக்கம் 22.x / 24.x22.23.2 / 24.18.1
CVE-2026-56848HTTP/2 பாக்கெட் சேகரிப்பின் போது அனுப்பும் பாதையில் மீண்டும் நுழைகிறது, இதனால் UAF ஒரு குவியலை ஏற்படுத்துகிறது; தாக்கம் 22.x / 24.x / 26.x22.23.2 / 24.18.1 / 26.5.1
CVE-2026-58043--permission பாதை முன்னொட்டு எல்லைப் பொருத்தம் மிகவும் அகலமாக உள்ளது, மேலும் அனுமதிக்கப்பட்ட பட்டியலுக்கு வெளியே உள்ள கோப்புகள் அணுகப்படலாம்.மேலே உள்ள மூன்று பராமரிப்பு வரிகளைப் போலவே

மூன்றுமே அதிகாரப்பூர்வமாக High. HTTP/2 Node ஆல் செயலாக்கப்பட்டதா என்பதைச் சரிபார்ப்பதற்கு முதல் இரண்டு உருப்படிகள் முன்னுரிமை அளிக்கின்றன; அனுமதி மாதிரியைப் பயன்படுத்தும் போது மற்றும் இந்த எல்லையை நம்பியிருக்கும் போது மூன்றாவது உருப்படி மட்டுமே தொடர்புடைய பொருளைக் கொண்டுள்ளது. அனுமதி மாதிரி உருப்படிகள் அனைத்தும் அங்கீகாரம் தேவைப்படாத பிணைய RCE என விவரிக்க முடியாது. S7

HTTP/2 ஐ ஒரு தனி, புதுப்பிக்கப்பட்ட ப்ராக்ஸியில் தற்காலிகமாக நிறுத்துவது மற்றும் பின்தளத்தில் மூலங்களை வரம்பிடுவது வெளிப்பாட்டைக் குறைப்பதற்கான ஒரு வரிசைப்படுத்தல் விருப்பமாகும்; வள ஒதுக்கீடுகள் வளங்கள் சோர்வின் விளைவுகளை மட்டுமே கட்டுப்படுத்த முடியும் மற்றும் UAF ஐ இணைக்க முடியாது.

3.4 அக்டோபர் React / Next.js: இரண்டு பொருட்கள் RCE மற்றும் ஒரு உருப்படி DoS

A. RCE இல் RSC / use cache செயல்பாடுகள் தட்டச்சு செய்யப்பட்ட அணிவரிசைகளை வழங்கும்

பொது தேதி: 2026-10-14; Critical, CVSS 4.0 9.5. அதிகாரப்பூர்வ ஆலோசனை அடையாளங்காட்டிகள்:

  • React：GHSA-xqc2-xf4c-x3h3。
  • Next.js：GHSA-673q-mjm6-r5xr。S9S10

தி React அப்ஸ்ட்ரீம் சிக்கலில் தாக்குபவர்-கட்டுப்படுத்தக்கூடிய மதிப்புகளுடன் இணைந்து பல தட்டச்சு செய்யப்பட்ட அணிவரிசைகளை உள்ளடக்கியது RSC பதில் மூவரும் பாதிக்கப்பட்டுள்ளனர் react-server-dom-* தொகுப்பு பதிப்புகள் 19.0.0 — 19.0.8 , 19.1.0 — 19.1.9 , 19.2.0 — 19.2.8 , 19.3.0 ; அத்தியாயம் பகுதியைப் பார்க்கவும் 2.1. தூய உலாவி-பக்கம் React , அல்லது ஆதரிக்கும் கட்டமைப்புகள்/செருகுநிரல்களைப் பயன்படுத்தாத பயன்பாடுகள் RSC இந்த உருப்படியின் எல்லைக்குள் வரவேண்டாம். S10

Next.js கீழ்நிலை அறிவிப்பு பட்டியல்கள் 16.0.0 — 16.4.0 , இல் திருத்தப்பட்டது 16.4.1 ; காட்சி உள்ளது App Router , Cache Components , மற்றும் use cache பல தட்டச்சு செய்யப்பட்ட அணிவரிசைகளை வழங்கும் செயல்பாடுகள். அதிகாரப்பூர்வ நம்பகமான பொதுவான தீர்வு எதுவும் இல்லை, மேலும் பாதிக்கப்பட்ட பதிப்புகளின் பயனர்கள் சரியான நேரத்தில் மேம்படுத்த வேண்டும். செயலாக்கத்தை முடிக்க, “இந்தச் செயல்பாடு இருப்பதாகத் தெரியவில்லை” என்பதற்கான கைமுறைத் தேடல்களை மட்டும் நம்புவது பொருத்தமானதல்ல. S9

மேற்கோள்: B. SVG Image Optimization RCE

CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. The சிக்கல் படத்தை மேம்படுத்துவதற்குப் பயன்படுத்தப்படும் அப்ஸ்ட்ரீம் நேட்டிவ் லைப்ரரியில் ஏற்படுகிறது. RCE ஆபத்து glibc Linux சூழ்நிலையில் இருப்பதாக அதிகாரிகள் சுட்டிக்காட்டினர். S11

அதிகாரப்பூர்வ பதிப்பு புலங்கள்:

  • >=10.0.0 <=15.5.27；
  • >16.0.0 <=16.4.0。

அதிகாரி 16.x கிளைக்கு >16.0.0 இன் கண்டிப்பான கீழ் வரம்பைப் பயன்படுத்துகிறார், ஆனால் 16.0.0 பாதுகாப்பானது என்பதை நிரூபிக்க இந்த வரம்பு அறிக்கை போதாது. உண்மையான மேம்படுத்தல் இலக்கு ஒரே மாதிரியான 15.5.28 / 16.4.1 ஆகும். S11

அதிகாரப்பூர்வ தற்காலிக தீர்வு Next உண்மையில் கூர்மையான ≥0.35.5 ஏற்றுகிறது. பூட்டு கோப்புகள், உள்ளமை சார்புகள் மற்றும் வரிசைப்படுத்தல் படங்கள் இன்னும் பழைய நிகழ்வுகளை வைத்திருக்கலாம், எனவே மேல் மட்டத்தில் sharp சார்புநிலையின் புதிய பதிப்பைச் சேர்ப்பது மட்டும் போதாது, இறுதி சார்பு மரத்தை சரிபார்த்து மீண்டும் கட்டமைக்க வேண்டும். S11

C. Server Actions CPU தீர்ந்துவிட்டது

GHSA-p3m5-59mp-jv5r , 2026-10-14, High , CVSS 4.0 8.2 . Next பாதிக்கிறது 13.0.0 — 15.5.27 , 16.0.0 — 16.4.0 , சரிசெய்கிறது 15.5.28 / 16.4.1 . நிபந்தனைகள் உள்ளன App Router மற்றும் குறைந்தது ஒன்று Server Action ; தீங்கிழைக்கும் கோரிக்கைகளை வைத்திருக்க முடியும் CPU நீண்ட நேரம் ஆக்கிரமித்து, அதே செயல்பாட்டில் அடுத்தடுத்த கோரிக்கைகளைத் தடுக்கிறது. உடன் விண்ணப்பங்கள் Pages Router அல்லது இல்லாமல் Server Actions இதனால் பாதிக்கப்படவில்லை. S12

மேம்படுத்தலை மாற்றக்கூடிய அதிகாரப்பூர்வ தீர்வு எதுவும் இல்லை. விகித வரம்புகள், ஒத்திசைவு வரம்புகள் மற்றும் ஆதார ஒதுக்கீடுகள் சேதத்தை குறைக்கலாம், ஆனால் பேட்ச் சரிபார்ப்புக்கான முடிவாகப் பயன்படுத்த முடியாது.

3.5 முந்தைய Next.js அதே சாளரத்தில் தீவிர சிக்கல்

ஆகஸ்ட்-செப்டம்பருக்கு முந்தைய பதிப்புகளில் இன்னும் சிக்கியிருக்கும் வரிசைப்படுத்தல்களைத் தவிர்க்க பின்வரும் உருப்படிகள் நோக்கமாக உள்ளன; இப்போது அட்டவணையில் உள்ள பழைய சரிசெய்தல் வரம்புகளுக்குச் செல்ல பரிந்துரைக்கப்படவில்லை.

தேதிஅடையாளங்காட்டி / காட்சிமுதல் திருத்தம்; தற்போதைய நடவடிக்கை
2026-08-25GHSA-2xp9-vwfh-vxw4: AVIF பட உகப்பாக்கம் சொந்த நூலகம் RCE, Critical15.5.24 / 16.3.3; இப்போது 15.5.28 / 16.4.1 S13
2026-08-25CVE-2026-75604: RCE, Critical Pages Router மற்றும் App Router Windows இல் ஒரே நேரத்தில் பயன்படுத்தப்படும், மேலும் Cache Components செயல்படுத்தப்படவில்லை; பதிப்புகள் >=13.4.0 <15.5.24, >=16.0.0 <16.3.315.5.24 / 16.3.3; இந்த குறிப்பிட்ட Windows இதழால் Linux/macOS பாதிக்கப்படவில்லை S14
2026-09-22GHSA-vcvr-r3jv-pc5j: next/og இல் உள்ள Node பட-தலைமுறை பாதையானது நம்பத்தகாத SVG, Critical செயலாக்குகிறது; 16.2.0—16.3.516.3.6; Edge செயல்படுத்தல் இந்த சிக்கலின் எல்லைக்கு வெளியே உள்ளது, மேலும் இந்த RCE S15 க்கு 15.x ஒரு பாதிக்கப்பட்ட கிளை அல்ல

4. Java சுற்றுச்சூழல்: இயக்க நேர நம்பிக்கை, கொள்கலன்கள் மற்றும் கட்டமைப்புகள் தனித்தனியாக கையாளப்படுகின்றன

4.1 JDK: வழக்கமான CPU மற்றும் CVE-2026-91403 இரண்டு அடுக்கு புதுப்பிப்புகள்

அக்டோபர் 20 அன்று Java SE ரிஸ்க் மேட்ரிக்ஸ் Oracle CPU 55 புதிய பாதுகாப்பு இணைப்புகளை பட்டியலிடுகிறது, அவற்றில் 49 அங்கீகாரம் இல்லாமல் பிணையத்தில் பயன்படுத்தக்கூடியதாகக் குறிக்கப்பட்டுள்ளது. இதன் பொருள் 55 Critical உள்ளது என்று அர்த்தமல்ல, ஒவ்வொரு Java இணையச் சேவைக்கும் நேரடியாகப் பயன்படுத்தக்கூடிய 49 RCE பாதைகள் உள்ளன என்று அர்த்தமல்ல; மேட்ரிக்ஸில் உள்ள கூறுகள், ஏபிஐகள், பயனர் தொடர்புகள் மற்றும் வரிசைப்படுத்தல் நிலைமைகளுடன் இணைந்து புரிந்து கொள்ள வேண்டும். S16

அடுத்த நாள் CVE-2026-91403 (CVSS 3.1 9.1) மற்றொரு வகையான அபாயத்தைக் கையாள்கிறது: eMudhra நிகழ்வுடன் தொடர்புடைய இடைநிலை CA இன் தொகுப்பு. இது TLS சக அங்கீகாரம் மற்றும் தகவல் தொடர்பு ரகசியம்/ஒருமைப்பாடு ஆகியவற்றை பாதிக்கிறது மேலும் JVM நினைவக ஊழல் பாதிப்பு என விவரிக்க முடியாது. S17

Oracle ஆலோசனையானது அக்டோபர் 20 ஆம் தேதி வெளியிடப்பட்ட பதிப்பை பாதித்ததாக பட்டியலிடுகிறது, எனவே அக்டோபர் 21 ஆம் தேதி அவுட்-ஆஃப்-பேண்ட் புதுப்பிப்பும் நிறுவப்பட வேண்டும். குறிப்பிட்ட பதிப்பிற்கு 2.2 பகுதியைப் பார்க்கவும். GraalVM தொடர்புடைய பாதிக்கப்பட்ட தயாரிப்புகளையும் கொண்டுள்ளது, மேலும் நிலையான பதிப்பு அதன் பிரத்யேக பாதுகாப்பு புல்லட்டின் உட்பட்டதாக இருக்க வேண்டும். S17S18

தற்காலிக உத்தியோகபூர்வ நடவடிக்கைகள்: முதலில் காப்புப்பிரதி எடுக்கவும், பின்னர் உண்மையில் பயன்படுத்தப்படும் ஒவ்வொரு அறக்கட்டளையிலிருந்தும் குறிப்பிட்ட ரூட் சான்றிதழை அகற்றவும்:

  • emSign ECC Root CA - G3, Oracle மாற்று emsigneccrootcag3 [jdk].
  • AAA Certificate Services, Oracle மாற்று comodoaaaca [jdk]. S19

JDK 11 மற்றும் அதற்குப் பிறகு, அதிகாரப்பூர்வ உதாரணம்:

keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]"
keytool -delete -cacerts -alias "comodoaaaca [jdk]"

இந்தக் கட்டளைகளுக்கு இலக்கான JDKஇலிருந்துkeytool ஐப் பயன்படுத்தவும், மேலும் அவை பயன்பாட்டின் உண்மையான நம்பிக்கைக் கடையில் செயல்படுகின்றன என்பதை உறுதிப்படுத்தவும். Java 8 jre/lib/security/cacerts உடன் தொடர்புடைய பாதையைப் பயன்படுத்துகிறது; அறக்கட்டளையைத் தனிப்பயனாக்குவது தனித்தனியாகக் கையாளப்பட வேண்டும், மற்ற வெளியீட்டாளர்கள் வெவ்வேறு மாற்றுப்பெயர்களைக் கொண்டிருக்கலாம். மூலச் சான்றிதழை அகற்றுவது நிராகரிப்பின் நோக்கத்தை விரிவுபடுத்தும், மற்றும் பின்னடைவு-சோதனை முறையான சேவை சான்றிதழ் சங்கிலிகள். S19

அதிகாரி திரும்பப்பெறுதல் சரிபார்ப்பை இயக்குவதற்கான விருப்பத்தையும் வழங்குகிறது, ஆனால் விளைவு உண்மையான TLS செயல்படுத்தல், திரும்பப்பெறுதல் சேவை அணுகல் மற்றும் தோல்வி உத்தி ஆகியவற்றைப் பொறுத்தது. பொதுவான வரிசைப்படுத்தல்களுக்கு, அனைத்து TLS நூலகங்களும் சரி செய்யப்பட்டுள்ளன என்பதற்கான சான்றாக இரண்டு JVM சுவிட்சுகளைக் கையாள்வதைத் தவிர்க்க முழு விற்பனையாளர் புதுப்பிப்புகளை நிறுவுவதற்கு முன்னுரிமை கொடுங்கள்.

4.2 Tomcat: அங்கீகார பைபாஸ் மற்றும் குறுக்கு பயனர் கோரிக்கை தனிமைப்படுத்தல்

பின்வரும் மூன்று உருப்படிகள் 2026-10-20 இல் வெளியிடப்பட்டன; பழுதுபார்க்கப்பட்ட பதிப்பு உள்ளீடு October 12 தேதியிட்டது. Apache இன் அதிகாரப்பூர்வ தரம் Important ஆகும். S21S22S23

CVEபாதிக்கப்பட்ட பதிப்புகள் உறுதிப்படுத்தப்பட்டுள்ளனதேவையான காட்சிகள்/முடிவுகள்
CVE-2026-1012969.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26JNDIRealm GSSAPI அல்லாத SASL அங்கீகார பொறிமுறையை உள்ளமைக்கிறது, நற்சான்றிதழ் சரிபார்ப்பு இல்லை, மேலும் தவறான கடவுச்சொற்களும் அனுப்பப்படலாம்
CVE-2026-1013569.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26HTTP/2 இன் ஒத்திசைவற்ற சர்வ்லெட் பிழை கையாளுதல் பொருட்களை தவறாக மறுசுழற்சி செய்கிறது/மீண்டும் பயன்படுத்துகிறது, இதனால் பயனர்களிடையே கோரிக்கைகள் அல்லது பதில்கள் கலக்கப்படுகின்றன.
CVE-2026-10311911.0.0-M25—11.0.26 மட்டும் உறுதிப்படுத்தவும்பெரிய AJP தடுக்காத எழுதுதல்கள் இடையகத்தைப் படிக்காமல், முந்தைய மறுமொழித் தரவை பின்னர் கோரிக்கைகளில் வெளிப்படுத்தும்.

தொடர்புடைய திருத்தம் 9.0.123 / 10.1.61 / 11.0.27; AJP அறிவிப்பின்படி Tomcat 11 என மட்டுமே பட்டியலிடப்பட்டுள்ளது, மேலும் ஒரே பிரச்சனையுடன் மூன்று கிளைகளுக்கு விரிவாக்க முடியாது. S21S22S23

JNDIRealm பேட்ச் உண்மையான அங்கீகார செயல்பாட்டில் சரிபார்ப்பு இடைவெளியை சரிசெய்கிறது, அங்கு சரிபார்ப்பிற்கு பதிலாக “பயன்பாட்டு உள்நுழைவு இடைமுகம் சாதாரணமாக தெரிகிறது”. Realm, SASL பொறிமுறைகள் சேவையின் உண்மையான உள்ளமைவுக்காக சரிபார்க்கப்பட வேண்டும், மேலும் தவறான கடவுச்சொற்களுக்கு சோதனைகள் தோல்வியடைய வேண்டும். S24

இடைக்கால செயலாக்க பரிந்துரைகள்: பாதிக்கப்பட்ட அங்கீகார பாதையை தனிமைப்படுத்துகிறது; வணிக அனுமதிக்கும் போது Tomcat இன் HTTP/2 செயலாக்கத்தை இடைநிறுத்தவும்; மூட பயனற்ற AJP. AJP போர்ட்டிற்கான நேரடி அணுகலைக் கட்டுப்படுத்துவது மட்டுமே, சட்ட முன் ப்ராக்ஸி மூலம் நுழையும் போக்குவரத்து பாதிக்கப்படாது என்பதை நிரூபிக்க முடியாது. அதிகாரப்பூர்வ புதுப்பித்தலுக்குப் பிறகு, அடையாளங்கள் மற்றும் பதில்களுக்கு இடையே குறுக்கு பேச்சு எதுவும் இல்லை என்பதை உறுதிப்படுத்த இரண்டு சுயாதீன பயனர்களிடமிருந்து ஒத்திசைவற்ற ஒரே நேரத்தில் கோரிக்கைகள் சோதிக்கப்பட வேண்டும்.

மேற்கோள்: 4.3 Spring for GraphQL：CVE-2026-59285

பொது தேதி: 2026-08-20; High. 2.0.0—2.0.4, பழுதுபார்க்கப்பட்ட 2.0.5 (OSS) அல்லது 2.0.4.1 (வணிக ஆதரவு). S25

பேஜிங் வினவல்களில் இது பாதுகாப்பற்ற டீரியலைசேஷன் அபாயம். உத்தியோகபூர்வ தேவை என்னவென்றால், பின்வரும் நிபந்தனைகள் ஒரே நேரத்தில் பூர்த்தி செய்யப்பட வேண்டும்:

  1. Spring for GraphQL ஐப் பயன்படுத்தவும்.
  2. Jackson 2.xஐப் பயன்படுத்தி JSON ஐ சீரியலைஸ் செய்யவும்.
  3. வெளி உலகத்திற்கு இணைப்பு பேஜிங் புலத்தை வழங்கவும்.
  4. கிளாஸ்பாத்தில் குறிப்பிட்ட வகுப்புகள் உள்ளன, அவை உடனடி அல்லது டீரியலைசேஷன் போது எதிர்பாராத தர்க்கத்தை செய்ய முடியும்.

ஒரு தீங்கிழைக்கும் GraphQL கோரிக்கை நிபந்தனைகளை பூர்த்தி செய்யும் போது RCE ஏற்படலாம். “ஜாக்சனைப் பயன்படுத்தும் அனைத்து Java நிரல்களையும் பயன்படுத்திக் கொள்ளலாம்” என்று குறைக்க முடியாது. S25

ஏன் 2.0.4 போதுமானதாக இல்லை: ஜூன் மாதத்தில், CVE-2026-41699 2.0.4 போன்ற பேட்ச் பேஸ்லைன்களை வழங்கியது, மேலும் ஆகஸ்ட் மாதத்தில் அறிவிப்பு 2.0.4 இன் செல்வாக்கின் ஸ்கோப்பை தெளிவாக உள்ளடக்கியது. எனவே, பழுதுபார்ப்பு பதிவேடு அடுத்தடுத்த அறிவிப்புகளின்படி புதுப்பிக்கப்பட வேண்டும், மேலும் பழைய CVE இன் குறைந்தபட்ச பதிப்பைப் பயன்படுத்த முடியாது. S26

மேம்படுத்தல் தற்காலிகமாக கிடைக்காதபோது, நம்பத்தகாத அழைப்பாளர்களால் அணுகக்கூடிய பாதிக்கப்பட்ட பேஜினேஷன் புலங்கள் இடைநிறுத்தப்படலாம்; deserialisable வகைகள் மற்றும் வர்க்கப் பாதைகளைக் குறைப்பது ஒரு ஆழமான நடவடிக்கையாகும். பின்னடைவுகள் சட்ட கர்சர்கள், பக்க முடிவுகள் மற்றும் விதிவிலக்கு உள்ளீடு நிராகரிப்புகள் ஆகியவற்றை உள்ளடக்கியிருக்க வேண்டும், மேலும் JAR இன் இறுதிப் பயன்பாட்டில் உள்ள உண்மையான கூறு பதிப்புகளைச் சரிபார்க்க வேண்டும்.

4.4 Spring Security: CVE-2026-59270 மற்றும் தொடர்புடைய அங்கீகார அபாயங்கள்

CVE-2026-59270, 2026-08-20, Critical. உட்பொதிக்கப்பட்ட UnboundIdContainer முன்னிருப்பாக அறியப்பட்ட நிர்வாகி நற்சான்றிதழ்களைப் பதிவுசெய்து அனைத்து நெட்வொர்க் இடைமுகங்களிலும் கேட்கிறது. கூறு இயக்கப்பட்டு, போர்ட் அணுகக்கூடியதாக இருக்கும்போது, ​​தாக்குபவர் கோப்பகத் தரவைப் படிக்கலாம் அல்லது மாற்றலாம்; பொதுவாக Spring Security ஐ அறிமுகப்படுத்தும் திட்டங்கள் தானாகவே LDAP ஐ வெளிப்படுத்தாது. S27

பாதிக்கப்பட்ட பகுதி:

கிளைபாதிக்கப்பட்டதுமுதல் சரிசெய்தல் / கையகப்படுத்தல் சேனல்
7.17.1.07.1.1 OSS; வணிகரீதியான 7.1.0.1
7.07.0.0—7.0.67.0.7 OSS; வணிகரீதியான 7.0.6.1
6.5 / 6.46.5.0—6.5.11；6.4.0—6.4.186.5.12/6.4.19, வணிக
5.8 / 5.75.8.0—5.8.27；5.7.0—5.7.255.8.28/5.7.26, வணிக

ஆதாரம்: S27. spring.ldap.embedded.* தானியங்கி உள்ளமைவு மற்றும் நேரடி உடனடி குறியீட்டை சரிசெய்தல்; உற்பத்திக்குத் தேவையில்லாத போது கூறுகளை மூடி, உண்மையான கேட்கும் முகவரியைச் சரிபார்க்கவும். வணிகத்திற்கு உண்மையிலேயே தேவைப்படும்போது, ​​முதலில் அழைப்பு மூலங்களை வரம்பிடவும், பின்னர் கூறு மேம்படுத்தலை முடிக்கவும்.

தொடர்புடைய அங்கீகாரச் சிக்கல்: CVE-2026-47841 ( High ). WebAuthn பயனர் அங்கீகாரம் அமைக்கப்பட்டுள்ளது REQUIRED , மற்றும் பிறகு HTTP அமர்வு விநியோகிக்கப்பட்ட சேமிப்பகத்தால் வரிசைப்படுத்தப்படுகிறது, தவறான பொருள் அடையாள ஒப்பீடு அங்கீகாரத் தேவையை செல்லாது. தாக்குதலுக்கு, தாக்குபவர் பயனர் அங்கீகரிப்பு சாதனத்தை வைத்திருக்க வேண்டும், சாதனம் இல்லாமல் தன்னிச்சையான ரிமோட் உள்நுழைவு அல்ல. தொடர்புடைய பாதிக்கப்பட்ட பதிப்புகளுக்கு 7.1 , 7.0 , 6.5 , மற்றும் 6.4 , பேட்ச் பேஸ்லைன் மேலே உள்ள அட்டவணையில் உள்ள இந்த கிளைகளுடன் ஒத்துப்போகிறது; சரிபார்ப்பு குறுக்கு முனை அமர்வுகளை உள்ளடக்கியதாக இருக்க வேண்டும், இன்னும் பின்/பயோமெட்ரிக் சரிபார்ப்பு தேவைப்படுகிறது. S28

5. Python சுற்றுச்சூழல்: மொழிபெயர்ப்பாளர், நிலையான நூலகம், கட்டமைப்பு மற்றும் சான்றிதழ்கள்

5.1 CVE-2026-19445: SNI கால்பேக்கில் SSLContext UAF

வெளியீட்டுத் தேதி: 2026-09-30; PSF நிலை: Critical. Python சர்வரில் TLS, sni_callback இணைப்புகளை மற்றொரு SSLContext க்கு மாற்றுகிறது, மேலும் அசல் மறுப்புச் சூழல் இல்லை. TLS கிளையன்ட் சேவையை செயலிழக்கச் செய்யலாம் அல்லது வெளியிடப்பட்ட பொருளில் சுட்டிக்காட்டி அழைக்கலாம். S29

முக்கிய அம்சம் என்னவென்றால், Python பொருள் அடிப்படையான TLS கால்பேக் வாழ்க்கைச் சுழற்சியுடன் முரணாக உள்ளது. அசல் சூழல் வெளியிடப்பட்டது, மேலும் அடிப்படை அடுக்கு இன்னும் திரும்ப அழைப்பதற்குத் தேவையான நிலையை வைத்திருக்கலாம்; குறிப்பு வாழ்க்கைச் சுழற்சியை சரிசெய்ய மொழிபெயர்ப்பாளர் நேட்டிவ் பேட்ச் பயன்படுத்தப்பட வேண்டும். S47

Scope: Python குறியீடு TLS கிளையண்டாக மட்டுமே செயல்படும் இந்த உருப்படி பாதிக்கப்படாது; அசல் சூழலை நீண்ட நேரம் வைத்திருக்கும் கேட்கும் சாக்கெட்டின் இயல்பான பயன்முறை அறிவிப்பில் விவரிக்கப்பட்டுள்ள குறிப்பிட்ட தோல்வி பாதையில் வராது. Nginx TLS ஐ முடித்த பிறகு, அது உள்ளூர் HTTP முதல் Python வரை மட்டுமே ஒப்படைக்கிறது, மேலும் Python நேரடியாக SNI ஐக் கையாளுகிறது, இது ஒரு வித்தியாசமான தாக்குதல் மேற்பரப்பாகும். S29

3.10—3.14 நிலையான பதிப்புடன் தொடர்புடையது, 2.3. பகுதியைப் பார்க்கவும் 3.15 இன் அதிகாரப்பூர்வ பதிப்பு பழுதுபார்க்கப்பட்டது, மேலும் 3.15.1 உண்மையில் தேர்ந்தெடுக்கப்பட்டது. pip சார்புநிலையை மட்டும் புதுப்பிப்பதால் மொழிபெயர்ப்பாளரின் _ssl செயலாக்கத்தை மாற்ற முடியாது. S33S35S47

அதிகாரப்பூர்வ தற்காலிகத் தணிப்பு: அனைத்து SSLContext க்கான வலுவான குறிப்புகளை வைத்திருக்கிறது, அவை SNI அழைப்பை சர்வர் வாழ்க்கைச் சுழற்சியின் இறுதி வரை அமைக்கின்றன. இது உண்மையான மாறும் உருவாக்கம் மற்றும் மாறுதல் பாதைகளை மறைக்க வேண்டும்; தனிப்பயன் OpenSSL 1.1.1 பில்ட் ஆனது அதிகாரப்பூர்வ பிரச்சினை பதிவோடு இணைந்து மறுபேச்சுவார்த்தை நிலைமைகளை சரிபார்த்து முழுமையான புதுப்பிப்புகளுக்கு முன்னுரிமை அளிக்க வேண்டும். S29S47

5.2 CVE-2026-19553: ஹோஸ்ட்பெயர் கொடி இயக்கப்பட்டது, ஆனால் அழைக்கும் போது ஹோஸ்ட் பெயர் இல்லை

பொது தேதி: 2026-09-30; High.SSLContext.check_hostname=True, server_hostname இல் wrap_bio() அனுப்பப்படாவிட்டால், அசல் செயல்படுத்தல் ஹோஸ்ட்பெயர் சரிபார்ப்பை அமைதியாகத் தவிர்க்கலாம். வெற்றிகரமான சான்றிதழ் சங்கிலி சரிபார்ப்பு என்பது இலக்கு டொமைன் பெயரும் பொருந்தியதாக அர்த்தமல்ல. S30

சரிசெய்தலுக்கு இரண்டு படிகள் தேவை:

  • 2.3. பிரிவில் பட்டியலிடப்பட்டுள்ள மொழிபெயர்ப்பாளர் பாதுகாப்பு வெளியீட்டை நிறுவவும்
  • wrap_bio(), தொடர்புடைய asyncio.create_connection() / loop.start_tls() பாதைகளைச் சரிபார்த்து, எதிர்பார்க்கப்படும் மற்றும் காலியாக இல்லாத ஹோஸ்ட்பெயரை வெளிப்படையாகக் கடந்து, சான்றிதழ் சரிபார்ப்பை ஆன் செய்திருக்கவும். S30

**பொருந்தக்கூடிய வேறுபாடுகள் தவிர்க்க முடியாதவை:**3.10, 3.11, 3.12 பொருந்தக்கூடியவை, சில சந்தர்ப்பங்களில் ஹோஸ்ட்நாம் விடுபட்டால் DeprecationWarning மட்டுமே வழங்கப்படுகிறது; 3.13 மற்றும் பின்னர் ValueError ஐ உயர்த்தவும். 3.12 பேக்போர்ட் None ஐ வெற்று சரங்களிலிருந்து தெளிவாக வேறுபடுத்துகிறது: None க்கு ஒரு புதிய எச்சரிக்கை சேர்க்கப்பட்டது, மேலும் வெற்று சரங்களுக்கு ஒரு பிழை இன்னும் புகாரளிக்கப்படுகிறது. எனவே, குறைந்த கிளை பயனர்கள், முதலில் காணாமல் போன டொமைன் பெயர் சரிபார்ப்பு, மேம்படுத்துவதன் மூலம் தானாகவே மீட்டெடுக்கப்பட்டதாகக் கருத முடியாது. S31S33

சோதனைச் சூழலில், பொருந்தாத ஹோஸ்ட்பெயருடன் நம்பகமான சங்கிலிச் சான்றிதழைப் பயன்படுத்தவும் மற்றும் உண்மையான பயன்பாடு TLS கிளையன்ட் அதை நிராகரிப்பதை உறுதிப்படுத்தவும். check_hostname பூலியன் மதிப்பைப் படிப்பது மட்டுமே முழுமையாக ஏற்றுக்கொள்ளப்படாது.

5.3 CVE-2026-82049: டார்ஃபைல் வடிகட்டியில் இணைப்பு சேர்க்கை பைபாஸ்

பொது தேதி: 2026-09-14; High . இல் CPython 3.13 மற்றும் முந்தைய தொடர்புடைய செயலாக்கங்கள், கடின இணைப்புகள் மற்றும் நம்பத்தகாத தார் குறியீட்டு இணைப்புகளின் கலவையை கடந்து செல்லும் data / tar பிரித்தெடுத்தல் வடிகட்டி, அன்பேக்கிங் ட்ரீயில் உள்ள அன்பேக்கிங் டைரக்டரிக்கு வெளியே உள்ள கோப்புகளின் உள்ளடக்கங்களை வெளிப்படுத்துதல் அல்லது அவற்றின் அனுமதிகள் மற்றும் மாற்றும் நேரங்களை மாற்றியமைத்தல். S32

இந்த பாதிப்பின் உறுதிப்படுத்தப்பட்ட தாக்கங்களில் கோப்பு உள்ளடக்க வெளிப்பாடு மற்றும் மெட்டாடேட்டா மாற்றம் ஆகியவை அடங்கும்; வெளிப்புற கோப்பு உள்ளடக்கத்தின் தன்னிச்சையான மேலெழுதுதல் அல்லது RCE இன் நிபந்தனையற்ற செயலாக்கத்தை நிரூபிக்க இந்த தாக்கங்கள் மட்டும் போதாது.

தொடர்புடைய பேட்ச் பேஸ்லைன்களுக்கு 3.10 — 3.13 , பகுதியைப் பார்க்கவும் 2.3. Python 3.14 காரணமாக இந்த குறிப்பிட்ட சிக்கலில் இருந்து விலக்கு அளிக்கப்பட்டுள்ளது os.link() நடத்தை மாறுகிறது 3.14.0b1 , அதனால் பாதிக்கப்பட்ட நோக்கம் 3.10 — 3.13 மேலே உள்ள கிளை பொருந்தாது. S33

தற்காலிக மற்றும் ஆழமான நடவடிக்கைகள்: நம்பத்தகாத காப்பகங்களை தானாக பிரித்தெடுப்பதை இடைநிறுத்துகிறது; வணிகம் செயல்படுத்தப்பட வேண்டிய தனிமைப்படுத்தப்பட்ட குறைந்த-சலுகை கொண்ட பணியாளர் செயல்முறைகள் மற்றும் புதிய பிரத்தியேக கோப்பகங்களைப் பயன்படுத்தவும், குறியீட்டு இணைப்புகள், கடின இணைப்புகள் மற்றும் வணிகத்தின் சாதன உள்ளீடுகளை மறுக்கவும் மற்றும் கோப்புகளின் எண்ணிக்கை மற்றும் டிகம்பரஷ்ஷன் ஆதாரங்களைக் கட்டுப்படுத்தவும். இவை வரிசைப்படுத்தல் பரிந்துரைகள்.

filter="data" முழு நம்பிக்கை மூலோபாயத்தை விட பொதுவான நம்பத்தகாத காப்பகங்களுக்கு மிகவும் பொருத்தமானது, ஆனால் பழைய பதிப்பில் உள்ள வடிப்பான் இந்த பாதிப்பையும் கொண்டுள்ளது, மேலும் இந்த அளவுருவை மட்டும் சேர்ப்பதால் புதுப்பிப்பை மாற்ற முடியாது. வடிகட்டி ஒரு முழு கோப்பு முறைமை சாண்ட்பாக்ஸ் அல்ல. S32S45

5.4 துணை ஆபத்து: CVE-2026-114583 (Medium) மற்றும் பேட்ச் வெளியீட்டு நிலை

PSF 2026-10-22 இல் வெளிப்படுத்தப்பட்டது, tarfile.tar_filter இன் குறிப்பிட்ட இணைப்புப் பெயர்களின் செயலாக்கத்தைத் தவிர்க்கலாம், இது அடுத்தடுத்த உறுப்பினர்களை அன்பேக்கிங் டைரக்டரிக்கு வெளியே எழுத அனுமதிக்கிறது. Medium. அதிகாரப்பூர்வ தீர்வு PR அன்று இணைக்கப்பட்டது; அக்டோபர் 23, 2026 வரை, இந்த உறுதிமொழியைக் கொண்ட அதிகாரப்பூர்வ பராமரிப்பு வெளியீடு எதுவும் உறுதிப்படுத்தப்படவில்லை. S40

எனவே:

  • இந்த உருப்படி Medium என தனித்தனியாக பட்டியலிடப்பட்டுள்ளது.
  • அக்டோபர் 21 ஆம் தேதி வெளியிடப்பட்ட மொழிபெயர்ப்பாளர் பதிப்புகள் இந்த திருத்தத்தை உள்ளடக்கியதாக கருத முடியாது.
  • நம்பத்தகாத காப்பகங்களைக் கையாள filter="tar" ஐப் பயன்படுத்தும் செயல்முறையானது வெளியீட்டுப் பின்னணியைக் கண்காணிக்க வேண்டும்; இந்த செயலாக்க பாதையை ஒரு குறுகிய காலத்திற்கு தனிமைப்படுத்தவும் அல்லது இடைநிறுத்தவும். data க்கு மாறும்போது மற்றும் இணைப்புகளை நிராகரிக்கும்போது, ​​அது வணிகத் தேவைகளைப் பூர்த்திசெய்கிறது என்பதையும் உறுதிப்படுத்த வேண்டும், மேலும் வடிகட்டியை மாற்றுவது நிபந்தனையற்ற சாண்ட்பாக்ஸ் என்று விவரிக்க முடியாது.

5.5 GeoDjango: CVE-2026-15307 மற்றும் அக்டோபரில் அடுத்தடுத்த திருத்தங்கள்

2026-08-04, Django அதிகாரப்பூர்வ High. இடஞ்சார்ந்த வினவல் சில சரங்கள்/அகராதிகளை GDALRaster க்கு மறைமுகமாக அனுப்புகிறது, அல்லது இயக்கி நெட்வொர்க் கோரிக்கைகளை எழுதலாம்; RCE குறிப்பிட்ட பாதைகள் மற்றும் அதைத் தொடர்ந்து செயல்படுத்தும் நிலைமைகள் இருக்கும்போது உருவாக்கப்படலாம். ஸ்பேஷியல் ஃபீல்ட் மாடல் பார்க்கும் அனுமதிகளைக் கொண்ட பணியாளர்களும் இந்த பாதையை நிர்வாகி மாற்றப்பட்டியல் மூலம் அணுகலாம். S38

ஆரம்ப பிழைத்திருத்தம் 5.2.17 / 6.0.8 ஆகும், இது இடஞ்சார்ந்த தேடல்களால் ஏற்றுக்கொள்ளப்பட்ட உள்ளீட்டு வகைகளைக் கட்டுப்படுத்துகிறது. இந்த மாற்றம் ராஸ்டரை வெளிப்படுத்த சரம்/அகராதியைப் பயன்படுத்தும் அசல் வணிகத்தைப் பாதிக்கலாம்; நம்பத்தகாத உள்ளீட்டை GDALRaster இல் சுற்றுவது அதைச் சரிபார்ப்பது என்று அர்த்தமல்ல. S38

அக்டோபர் 6 ஆம் தேதி, CVE-2026-87890 (மிதமான) சரி செய்யப்பட்டது: பைட்டுகளில் வெளிப்படுத்தப்பட்ட VRT வெளிப்புற ஆதாரங்களைக் குறிப்பிடலாம் மற்றும் இன்னும் பிணைய கோரிக்கைகளைத் தூண்டுகிறது; அதே நாளில், உள்ளமை வடிவியல் DoS பாதுகாப்பு CVE-2026-15830 மேலும் பலப்படுத்தப்பட்டது. புதிய உயர் ஆபத்தை விவரிக்க பிந்தைய இரண்டை மேம்படுத்த முடியாது RCE , ஆனால் வரிசைப்படுத்தல் அடிப்படை இருக்க வேண்டும் என்பதைக் குறிக்கவும் 5.2.18 / 6.0.9 / 6.1.2 . S39

செயல்படுத்தல் API மற்றும் நிர்வாக இடைமுகத்தின் இரண்டு நுழைவு புள்ளிகளை சரிபார்க்கிறது, நம்பத்தகாத இடஞ்சார்ந்த தேடல், கோப்பு எழுத அனுமதிகள் மற்றும் வெளிச்செல்லும் அணுகலை கட்டுப்படுத்துகிறது; புதுப்பித்த பிறகு, பின்னடைவு-சோதனை சரியான இடஞ்சார்ந்த வினவல்கள் மற்றும் தடைசெய்யப்பட்ட உள்ளீட்டை நிராகரித்தல். GeoDjango ஐப் பயன்படுத்தாத சாதாரண Django பயன்பாடுகள் இந்த RCE முடிவை நேரடியாகப் பயன்படுத்தக்கூடாது.

5.6 certifi / pip: சான்றிதழ் அறக்கட்டளை ஒவ்வொரு நகலையும் மறைக்க வேண்டும்

GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , தெரிந்தது CVE பட்டியலிடப்படவில்லை. இது காரணமாக ஏற்பட்ட சான்றிதழ் அவநம்பிக்கை புதுப்பிப்பு eMudhra இடைநிலை CA சம்பவம். இது HTTPS இன் கிரிப்டோகிராஃபி பொறிமுறையாகவோ அல்லது அனைத்து ரூட் சான்றிதழ்களும் சிதைந்துவிட்டதாகவோ சுருக்க முடியாது. S36

certifi ஆலோசனையானது முதலில் 2026.10.18 ஒரு இணைப்பாக பட்டியலிடப்பட்டது; PSF பின்னர் வெளிப்படையாகப் பரிந்துரைக்கப்பட்டது 2026.10.19 பாதிக்கப்படாத ரூட் சான்றிதழ்களுடன் இணக்கத்தன்மையைப் பாதுகாக்க. செயல்பாட்டு அடிப்படை .19 ஆகும். S36S37

வேறுபடுத்துவது அவசியம்:

பொருள் இருப்பிடத்தை நம்புங்கள்நீங்கள் ஏன் தனித்தனியாக சரிபார்க்க வேண்டும்
இயக்க முறைமை CA தொகுப்புபடம் அல்லது ஹோஸ்டுக்கான சிஸ்டம் நம்பிக்கை பொருள்
வென்வில் certifiCA bundle உண்மையில் பயன்பாடுகள் அல்லது கோரிக்கைகள் போன்றவற்றால் பயன்படுத்தப்படுகிறது.
pip உள்ளமைக்கப்பட்ட certifiவெளிப்புறமாக நிறுவப்பட்ட certifi ஐ விட வேறுபட்ட நகல்
uv / பிற பேக்கேஜிங் கருவிகள்கருவியின் சொந்த புதுப்பிப்புகள் மற்றும் நம்பகமான ஆதாரங்களைப் பின்பற்றவும்
தனிப்பயனாக்கப்பட்ட CA கோப்புகள், தொகுக்கப்பட்ட ஸ்னாப்ஷாட்கள்அமைப்புகள் அல்லது தொகுப்புகளுக்கான இயல்புநிலை நம்பகமான ஆதாரங்களை மேலெழுதுவதைத் தொடரலாம்

மேலே உள்ளவை வெவ்வேறு பேக்கேஜிங் இடங்களின் அடிப்படையில் ஒரு சரிபார்ப்புப் பட்டியல். PSF க்கு தொடர்புடைய கருவிகள், ஏற்கனவே உள்ள மெய்நிகர் சூழல்கள் மற்றும் படத்தை மீண்டும் உருவாக்குதல் தேவை; ஹோஸ்ட் CA ஐ மட்டும் புதுப்பித்தல் அல்லது மொழிபெயர்ப்பாளரை மீண்டும் நிறுவுதல் ஆகியவை அனைத்து நகல்களும் புதுப்பிக்கப்பட்டுள்ளன என்பதை நிரூபிக்க முடியாது. S35S37

பழைய pip பாதுகாப்பான பூட்ஸ்ட்ராப்பில் இருந்து மேம்படுத்தும் போது, PSF நிலையான சக்கரம் மற்றும் SHA-256 க்கான கட்டளைகளை வழங்குகிறது, பின் இணைப்பு S37 ஐப் பார்க்கவும். சான்றிதழ் சிக்கல்களைத் தவிர்க்க TLS சரிபார்ப்பை முடக்க வேண்டாம் அல்லது --trusted-host ஐச் சேர்க்க வேண்டாம்.

6. முறையான சரிசெய்தல் செயல்முறை

பின்வரும் கட்டளைகள் உறுதிப்படுத்தப்பட்ட நம்பகமான சூழல்களுக்கானது. செயல்படுத்தும் போது, ​​npm/pnpm/நூல் அல்லது pip/uv/கவிதையை கலப்பதைத் தவிர்க்க, தற்போதைய தொகுப்பு மேலாளர், பூட்டு கோப்பு மற்றும் திட்டப்பணியின் வரிசைப்படுத்தல் செயல்முறை ஆகியவை முரண்பட்ட பூட்டு கோப்புகளை உருவாக்குவதைத் தவிர்க்க வேண்டும்.

முதலில் ஒரு விதிவிலக்கைக் கையாளவும்: பிரிவு 9 இல் சமரசம் செய்யப்பட்ட தொகுப்பை சூழல் இயக்கியதாக நீங்கள் சந்தேகித்தால், அதை முதலில் தனிமைப்படுத்தி, சுத்தமான சூழலில் இருந்து வட்டு, பூட்டு கோப்பு மற்றும் படப் பதிவைச் சரிபார்க்கவும்; பின்வரும் Python/pip கட்டளையை முதலில் இயக்க வேண்டாம். S41

6.1 உண்மையான ட்ராஃபிக்குடன் தொடர்புடைய ஒரு லெட்ஜரை நிறுவவும்

ஒவ்வொரு சேவையும் குறைந்தது:

  • வெளிப்புற நுழைவுப் புள்ளி, ரிவர்ஸ் ப்ராக்ஸி, அசல் தளத்திற்கான நேரடி இணைப்பு பாதை மற்றும் பின்னணி வரிசை/திட்டமிடப்பட்ட பணிகள்.
  • உண்மையான தொடக்க கட்டளை, இயங்கும் கணக்கு, பைனரி பாதை, செயல்முறை அல்லது கொள்கலன் அடையாளம்.
  • இயக்க நேர முழு பதிப்பு, வெளியீட்டாளர்/ களஞ்சியம், தொகுப்பு முழு பதிப்பு அல்லது பட டைஜெஸ்ட்.
  • கட்டமைப்பு மற்றும் இடைநிலை சார்புகள், பூட்டு கோப்புகள், சொந்த நூலகங்கள் மற்றும் நம்பிக்கை கடை பாதைகள்.
  • பாதிப்பு நிலை உள்ளதா என்பதைப் பொருத்து, இணைப்பு இலக்கு, மறுதொடக்கம் நோக்கம், பொறுப்பான நபர் மற்றும் சரிபார்ப்பு முடிவு.

டெவலப்மென்ட் மெஷின்கள், CI ரன்னர்கள், கன்டெய்னர்களை உருவாக்குதல் மற்றும் பின்புலப் பணிகள் ஆகியவை நம்பத்தகாத உள்ளடக்கத்திற்கான பாதைகளுக்கு ஏற்ப சரிபார்க்கப்பட வேண்டும்; பொதுமக்கள் எதிர்கொள்ளும் இணையக் கொள்கலனை மட்டும் புதுப்பிக்க வேண்டாம்.

6.2 Node.js: இயக்க நேரத்தை முதலில் தீர்மானித்து, பின்னர் பயன்பாட்டு சார்புகளைப் புதுப்பிக்கவும்

உண்மையான சேவை சூழலில் சரிபார்க்கவும்:

node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)'
npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all
npm audit --omit=dev

node -p சேவையின் உண்மையான இயங்கக்கூடிய அல்லது உண்மையான கொள்கலனுக்குள் செயல்படுத்தப்பட வேண்டும்; இது புதிதாக தொடங்கப்பட்ட செயல்முறைகளை சரிபார்க்கிறது மற்றும் பழைய தொழிலாளி மாற்றப்பட்டதை நிரூபிக்கவில்லை. Node அசல் லைப்ரரி பதிப்பு சரத்தைத் தக்கவைத்துக்கொண்டு உள்ளமைக்கப்பட்ட Brotli இல் பேட்சைச் சேர்க்கலாம். எனவே, அது பழுதுபட்டதா என்பதை தீர்மானிக்க process.versions.brotli ஐ மட்டும் நம்ப வேண்டாம். நீங்கள் அதை Node பாதுகாப்பு பதிப்பு அல்லது விற்பனையாளரின் பேக்போர்ட் ஆதாரத்துடன் இணைக்க வேண்டும். S2S4

உண்மையான சார்பு மரத்தைப் பார்க்க npm ls பயன்படுத்தப்படுகிறது; காணாமல் போன தொகுப்புகள் அல்லது பியர் மோதல்கள் பூஜ்ஜியம் அல்லாத வெளியேறும் குறியீடுகளையும் உருவாக்கலாம், எனவே நீங்கள் குறிப்பிட்ட வெளியீட்டைப் படிக்க வேண்டும். npm audit ஒரு சார்பு சரிபார்ப்பு உதவியாகப் பயன்படுத்தப்படுகிறது மற்றும் Node பைனரி மற்றும் நேட்டிவ் லைப்ரரி சரிபார்ப்பை மாற்ற முடியாது.

Node 24இன் சூழலை நிர்வகிக்கmise ஐப் பயன்படுத்தவும், இது பின்வருமாறு புதுப்பிக்கப்படலாம்:

mise use -g [email protected]
mise exec [email protected] -- node -p 'process.version + " " + process.execPath'

mise use -g உலகளாவிய பதிப்பை உள்ளமைக்கிறது; திட்டத்தின் உள்ளூர் கட்டமைப்பு இன்னும் தனித்தனியாக சரிபார்க்கப்பட வேண்டும். சேவையானது பழைய முழுமையான பாதை, கொள்கலன் அடிப்படை படம் அல்லது வேறு கணக்கின் சூழலை சரிசெய்திருந்தால், அதனுடன் தொடர்புடைய உள்ளமைவு புதுப்பிக்கப்பட்டு சேவையை மறுதொடக்கம் செய்ய வேண்டும். கட்டளையே பழைய இயங்கும் செயல்முறையை மாற்றாது. S43

Next திட்டத்தில், தேர்ந்தெடுக்கப்பட்ட கிளையின் படி தொடர்புடைய கட்டளையை இயக்கவும். Next 15க்கு:

# Next 15 分支
npm install --save-exact [email protected]

Next 16க்கு:

# Next 16 分支
npm install --save-exact [email protected]

React/RSC இணக்கமான சார்புகள், பூட்டு கோப்புகள் மற்றும் இறுதி கூர்மையான நிகழ்வுகளைச் சரிபார்த்து, பின்னர் திட்டச் செயல்முறையின்படி உருவாக்கவும். மறுஉருவாக்கம் செய்யக்கூடிய நிறுவலுக்கு CI இல் புதுப்பிக்கப்பட்ட பூட்டுக் கோப்பைப் பயன்படுத்தவும், கட்டிய பின் இயங்கும் படத்தில் உள்ள பதிப்பைச் சரிபார்க்கவும். இந்த அவசரநிலைக்கான இயல்புநிலை தீர்வாக முக்கிய பதிப்புகளில் கட்டுப்பாடற்ற தானியங்கி பழுதுபார்ப்பைப் பயன்படுத்த வேண்டாம்.

6.3 Java: வெளியீட்டாளர், உண்மையான JVM மற்றும் உட்பொதிக்கப்பட்ட கூறுகளை சரிபார்க்கவும்

பூர்வாங்க இருப்பு:

java -XshowSettings:properties -version

java.home, java.runtime.version மற்றும் வெளியீட்டில் உள்ள வெளியீட்டாளர் உண்மையில் சேவையால் பயன்படுத்தப்படும் JVM உடன் சீரமைக்கப்பட வேண்டும். இணைப்பு அனுமதியுடன் JVM க்கு, JDK இன் jcmd இலக்கு செயல்முறையைச் சரிபார்க்கப் பயன்படுத்தப்படலாம், உள்நுழைவு ஷெல் மட்டும் அல்ல.

நம்பகமான திட்டங்களில் சார்புகளைச் சரிபார்த்து, உண்மையான உருவாக்கக் கருவிகளின் அடிப்படையில் தேர்ந்தெடுக்கவும்:

./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*'

./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath
./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath

இந்த உருவாக்க கட்டளைகள் செருகுநிரல்களை இயக்கலாம் மற்றும் ஆன்லைனில் சார்புகளை தீர்க்கலாம் மற்றும் நம்பகமான திட்டங்களில் மட்டுமே இயங்கும். படத்தில் உள்ள இறுதி JAR/WAR அல்லது உண்மையான JAR ஐச் சரிபார்க்கவும் மற்றும் இறுதி கலைப்பொருளுக்கான உருவாக்க கோப்பு அறிவிப்புகளை மாற்ற வேண்டாம். Spring பூட் உட்பொதிக்கப்பட்ட Tomcat பயன்பாட்டை மீண்டும் உருவாக்க வேண்டும்; கணினியில் ஒரு தனி Tomcat நிறுவலைப் புதுப்பிப்பது பயன்பாட்டு தொகுப்பில் உள்ள நகலை மாற்றாது.

இயக்க நேரம் புதுப்பிக்கப்பட்ட பிறகு, தனிப்பயனாக்கப்பட்ட javax.net.ssl.trustStore, பயன்பாடு-சுயமாக ஏற்றப்பட்ட கீஸ்டோர், jlink இயக்க நேரம், GraalVM/நேட்டிவ் படம் மற்றும் பிற டெலிவரி படிவங்களை உருப்படி வாரியாக சரிபார்க்கவும். JDK கோப்பகம் புதியதாக இருப்பதால், ஏற்கனவே தனிப்பயனாக்கப்பட்ட நம்பிக்கைப் பொருட்களைக் கொண்டுள்ள பயன்பாடுகள் காசோலையை முடிக்க முடியாது.

6.4 Python: மொழிபெயர்ப்பாளர் மூலம் மொழிபெயர்ப்பாளர் மற்றும் மெய்நிகர் சூழல் செயலாக்கம்

உண்மையான venv/கன்டெய்னருக்குள் நம்பகமானதாக உறுதிப்படுத்தப்பட்டது:

python - <<'PY'
import sys
import ssl
import importlib.metadata as metadata

print("executable:", sys.executable)
print("version:", sys.version)
print("openssl:", ssl.OPENSSL_VERSION)
print("verify_paths:", ssl.get_default_verify_paths())
for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"):
    try:
        print(name + ":", metadata.version(name))
    except metadata.PackageNotFoundError:
        print(name + ": not installed")
PY

python -m pip --version
python -m pip check

இந்த ஸ்கிரிப்ட் தகவலை மட்டுமே சேகரிக்கிறது மற்றும் பதிப்பு தகுதி நிர்ணயம் செய்யாது. ssl.get_default_verify_paths() என்பது இயல்புநிலை பாதைத் தகவல் மற்றும் அனைத்து மூன்றாம் தரப்பு வாடிக்கையாளர்களும் ஒரே நம்பிக்கைக் கடையைப் பயன்படுத்துகிறார்கள் என்பதை நிரூபிக்க முடியாது; இது பயன்பாட்டு கட்டமைப்பின் அடிப்படையில் உறுதிப்படுத்தப்பட வேண்டும்.

பின் இணைப்பு S37 இன் நம்பகமான pip துவக்க மேம்படுத்தலை முடித்த பிறகு, திட்டக் கட்டுப்பாடுகளுக்கு ஏற்ப சான்றிதழ் சார்புகளைப் புதுப்பிக்கவும், எடுத்துக்காட்டாக:

python -m pip install --upgrade 'certifi>=2026.10.19'

# 仅适用于当前就选择 Django 5.2 的项目
python -m pip install --upgrade 'Django>=5.2.18,<5.3'

python -m pip check

திட்டத்தின் தேவைகள்/பூட்டு கோப்பு ஒரே நேரத்தில் புதுப்பிக்கப்பட வேண்டும், இல்லையெனில் அடுத்த வரிசைப்படுத்தல் பழைய பதிப்பிற்கு மாறலாம். uv, கவிதை அல்லது நிறுவன தொகுப்பு களஞ்சியத்தைப் பயன்படுத்தும் போது, ​​அவற்றின் தற்போதைய பூட்டுதல் மற்றும் வெளியிடுதல் செயல்முறைகளைப் பயன்படுத்தவும்; உற்பத்திக் கொள்கலனில் உள்ள தொகுப்புகளை கைமுறையாக மாற்ற வேண்டாம்.

திட்டத்தின் தற்போதைய pip-audit பணிப்பாய்வு நம்பகமான சூழலில் அறியப்பட்ட சார்பு பாதிப்புகளை சரிபார்க்க பயன்படுத்தப்படலாம்; இது ஒரு தீங்கிழைக்கும் குறியீடு ஸ்கேனர் அல்ல மற்றும் அனைத்து மொழிபெயர்ப்பாளர், கணினி நூலகம் மற்றும் நம்பிக்கை அங்காடி அபாயங்களை உள்ளடக்காது. S44

கணினி /usr/bin/python3 ஒரு புதிய தொகுக்கப்பட்ட பதிப்பை சுட்டிக்காட்டும்படி கட்டாயப்படுத்த பரிந்துரைக்கப்படவில்லை. Python கணினியை நம்பியிருக்கும் மேலாண்மை கருவிகளை உடைப்பதைத் தவிர்க்க வெளியீட்டு பாதுகாப்பு புதுப்பிப்புகள் அல்லது திட்ட தனிமைப்படுத்தல் இயக்க நேரங்களைப் பயன்படுத்தவும். இது செயல்படுத்தும் தேர்வாகும், மேலும் இந்த பாதிப்புக்கான கூடுதல் திருத்தத் தேவை அல்ல.

6.5 இயங்கும் நிகழ்வை மீண்டும் உருவாக்கி மாற்றவும்

முழுமையான மாற்றமாக பின்வரும் நடவடிக்கைகளை எடுக்க பரிந்துரைக்கப்படுகிறது:

  1. அசல் நம்பகமான மூலத்திலிருந்து பேட்சைப் பெற்று, பதிப்பு/ஹாஷ் மற்றும் சார்பு பூட்டைச் சேமிக்கவும்.
  2. தயாரிப்புக்கு அருகில் உள்ள சூழலில் முக்கிய செயல்பாடுகளைத் திருப்பி, நேட்டிவ் நீட்டிப்புகள் JVM/framework உடன் இணக்கமாக இருப்பதை உறுதிப்படுத்தவும்.
  3. இயக்க நேரம், பயன்பாட்டு சார்புகள் மற்றும் உண்மையான நம்பிக்கை அங்காடி ஆகியவற்றைப் புதுப்பிக்கவும்; கொள்கலனுக்கான அடிப்படை படம் மற்றும் அமைப்பு CA ஐ புதுப்பிக்கவும், பழைய லேயரை மட்டும் மீண்டும் பயன்படுத்த வேண்டாம்.
  4. பயன்பாடுகள் மற்றும் படங்களை மீண்டும் உருவாக்கவும், சேவை, பணியாளர், வரிசை நுகர்வோர் மற்றும் திட்டமிடப்பட்ட பணி நிகழ்வுகளை உருட்டல் அடிப்படையில் மாற்றவும்.
  5. புதிய இயங்கும் நிகழ்வில் பதிப்பு மற்றும் உள்ளமைவை மீண்டும் சரிபார்த்து, பழைய பிரதிகள் அனைத்தும் வெளியேறிவிட்டன என்பதை உறுதிப்படுத்தவும்.
  6. பிழை விகிதங்கள், தாமதம், CPU/நினைவகம், TLS ஹேண்ட்ஷேக் தோல்விகள் மற்றும் செயல்முறை செயலிழப்புகளைக் கவனிக்கவும்.

பாதுகாப்பான இயக்க நேரம் மற்றும் பேட்ச் சார்புகளைத் தக்கவைத்துக்கொள்வதற்கும், பயன்பாட்டு உள்ளமைவு அல்லது வணிக மாற்றங்களைத் திரும்பப் பெறுவதற்கும் ரோல்பேக் முன்னுரிமை அளிக்க வேண்டும். பாதிப்புகள் உள்ள பழைய தயாரிப்புக்கு நீங்கள் திரும்ப வேண்டியிருந்தால், தொடர்புடைய நுழைவு கட்டுப்பாடுகள் ஒரே நேரத்தில் மீட்டெடுக்கப்பட வேண்டும், மேலும் பொறுப்பான நபர் மற்றும் குறைந்தபட்ச மீட்பு காலம் தெளிவாக வரையறுக்கப்பட வேண்டும்.

7. தற்காலிக தணிப்பு மற்றும் பேட்ச் தேர்வு

7.1 தற்காலிக நடவடிக்கைகளின் கவரேஜ் எல்லை

அறிவிக்கப்பட்ட பயன்பாட்டு நிபந்தனைகளின் அடிப்படையில் செயல்படுத்துவதற்கான பரிந்துரைகள் பின்வருமாறு. உத்தியோகபூர்வ திட்டம் குறிப்பிடப்படாவிட்டால், விற்பனையாளர் அனைத்து வகைகளையும் முழுமையாகத் தடுக்க முடியும் என்று உத்தரவாதம் அளிக்கவில்லை.

ஆபத்துதற்காலிக நடவடிக்கைகள் எடுக்கலாம்இதன் அடிப்படையில் நிறைவுற்றதாகக் கருத முடியாத பகுதி
Brotli டிகோடிங்நம்பத்தகாத உள்ளீடு டிகோடிங்கை நிறுத்து; உள்வரும் மற்றும் வெளிச்செல்லும் தானியங்கி டிகம்ப்ரஷனை சரிபார்க்கவும்உள்வரும் WAF அல்லது மறுமொழி சுருக்கத்தை முடக்குவது அனைத்து டிகோடிங் உள்ளீடுகளையும் S3 உள்ளடக்காது
Next.js typed arrays RCEஉடனடியாக மேம்படுத்தவும்; தேவைப்பட்டால் பாதிக்கப்பட்ட சேவைகளை தற்காலிகமாக தனிமைப்படுத்தவும்S9 அதிகாரப்பூர்வ நம்பகமான உலகளாவிய தீர்வு எதுவும் இல்லை
Next.js SVG RCEஅதிகாரப்பூர்வ திட்டம்: உண்மையான கூர்மையான ≥0.35.5 ஐ உறுதிப்படுத்தவும்; வணிக அனுமதிக்கும் போது தொடர்புடைய தேர்வுமுறை நுழைவு புள்ளிகளை இடைநிறுத்தவும்மற்ற Next/RSC வெளியீடுகள் S11
Tomcat சாம்ராஜ்யம் / HTTP/2 / AJPதொடர்புடைய பாதையை தனிமைப்படுத்தி தேவையற்ற இணைப்பிகளை மூடவும்இன்னும் தொடர்புடைய கிளை பழுதுபார்ப்பு தொகுப்பு தேவை S21S22S23
GraphQL சீரியலைசேஷன்பாதிக்கப்பட்ட இணைப்பு புலங்களை இடைநிறுத்தவும்; நம்பத்தகாத அழைப்பாளர்களைக் கட்டுப்படுத்துங்கள்கோரிக்கையின் நீள வரம்பு மட்டுமே S25 வகை/டீரியலைசேஷன் சிக்கலை சரிசெய்ய முடியாது
Spring embedded LDAPதேவையில்லாத போது முடக்கு; உண்மையான கேட்கும் துறைமுகத்தின் வரம்பைக் கட்டுப்படுத்துங்கள்இயல்புநிலை நிர்வாக அடையாளம் மற்றும் கோப்பக ஒருமைப்பாடு இன்னும் சரிபார்க்கப்பட வேண்டும் S27
CPython SNI UAFஅதிகாரப்பூர்வ திட்டம்: சேவை முடியும் வரை தொடர்புடைய SSLContext வலுவான குறிப்பை வைத்திருங்கள்அனைத்து உருவாக்க/மாறு பாதைகளும் S29 மூடப்பட்டிருக்க வேண்டும்
Python ஹோஸ்ட்பெயர் தவிர்க்கவும்அதிகாரப்பூர்வ தீர்வு: எதிர்பார்க்கப்படும் server_hostname ஐ சரியாக அனுப்பவும்Check_hostname கொடியை சரிபார்க்கவோ அல்லது எச்சரிக்கையை புறக்கணிக்கவோ முடியாது S30S31
நம்பத்தகாத தார்பிரித்தெடுத்தலை முடக்கவும்/தனிமைப்படுத்தவும், அத்தியாவசியமற்ற இணைப்புகள் மற்றும் சாதன உள்ளீடுகளை நிராகரிக்கவும்வடிப்பான்களோ அல்லது ஆதார ஒதுக்கீடுகளோ உலகளாவிய சாண்ட்பாக்ஸ்கள் அல்ல S32S40S45
சான்றிதழ் நம்பிக்கை நிகழ்வுசரியான CA பொருளைப் புதுப்பிக்கவும்; அதிகாரப்பூர்வ தணிப்பின்படி Java நம்பிக்கையை கட்டுப்படுத்தலாம்TLS சரிபார்ப்பை முடக்குவது ஆபத்தை அதிகரிக்கிறது S19S37

7.2 விநியோக முறையின் அடிப்படையில் பேட்சைத் தேர்ந்தெடுக்கவும்

விநியோக முறைபழுதுபார்க்கும் முறைகளுக்கு முன்னுரிமை கொடுங்கள்தக்கவைக்க வேண்டிய சான்றுகள்
விநியோகம்-நிர்வகிக்கப்பட்ட இயக்க நேரம்உற்பத்தியாளரின் தொடர்புடைய பாதுகாப்பு புதுப்பிப்புகள்முழு தொகுப்பு பதிப்பு, அறிவிப்பு, களஞ்சிய ஆதாரம்
அதிகாரப்பூர்வ பைனரி/இயக்க நேர மேலாளர்அதே கிளையிலிருந்து அதிகாரப்பூர்வ பாதுகாப்பு வெளியீடுபதிப்பு, மூல மற்றும் செரிமானம், உண்மையான செயல்படுத்தல் பாதை
சுய-தொகுக்கப்பட்ட Node / CPythonபொருந்தும் கிளையின் அதிகாரப்பூர்வ ஆதார வெளியீடு அல்லது விற்பனையாளரின் முழுமையான இணைப்பு தொகுப்புகமிட் செட், பில்ட் அளவுருக்கள், சார்பு நூலகங்கள் மற்றும் பின்னடைவு முடிவுகள்
Spring / Next / Djangoகிளையில் புதுப்பிப்புகள், சார்பு பூட்டுகள் மற்றும் இறுதி பயன்பாடுகளை மீண்டும் உருவாக்குதல் ஆகியவற்றுடன் இணக்கமானதுஇறுதி சார்பு மரம், JAR/தொகுப்பு/படத்தில் உண்மையான பதிப்பு
தனிப்பயன் நம்பிக்கைக் கடைஉத்தியோகபூர்வ திரும்பப் பெறும் திட்டம் அல்லது விற்பனையாளர் புதுப்பிப்பு திரும்பப் பெறுவதை உறுதிப்படுத்துகிறதுஉண்மையான பயன்பாட்டு பாதை, பொருள் மாற்றம், TLS வெற்றி மற்றும் நிராகரிப்பு சோதனைகள்
ஒரு சமரசம் செய்யப்பட்ட சூழல்சுத்தமான மற்றும் நம்பகமான தயாரிப்புகளில் இருந்து மீண்டும் உருவாக்கவும் மற்றும் தனி சம்பவ விசாரணை நடத்தவும்வரலாற்று தொகுப்பு/பட டைஜெஸ்ட், நிறுவல் பதிவு, நற்சான்றிதழ் சுழற்சி பதிவு

7.3 கீ பேட்ச் மெக்கானிசம் மற்றும் மீள்பார்வை கவனம்

  • Brotli: பில்டிற்குள் நுழைவதற்கு முன், நேட்டிவ் டிகோடிங் நிலையின் எல்லை சரிபார்ப்பு மற்றும் பிழை திரும்பப் பெறப்பட்டதா என்பதில் கவனம் செலுத்துகிறது; JavaScript தொகுப்பை மாற்றினால் மட்டுமே, Node இல் நிலையான முறையில் தொகுக்கப்பட்ட குறியீட்டை மாற்ற முடியாது. S4
  • Node DNS / TLS : உள்ளீடு நிராகரிப்பு, முகவரி இயல்பாக்கம், இடையே உள்ள வேறுபாடு ஆகியவற்றில் கவனம் செலுத்துகிறது IP SAN மற்றும் DNS அடையாளங்கள், மற்றும் DNS திரும்ப திரும்ப/வாக்குறுதி பாகுபடுத்தும் பாதை மற்றும் TLS புரவலன் பெயர் போட்டி சோதனை. S5 S6
  • Tomcat JNDIRealm: ஒரு அடைவு சூழலைப் பெறுவதற்குப் பதிலாக, அங்கீகாரச் செயல்முறை உண்மையில் நற்சான்றிதழ்களைச் சரிபார்க்கிறதா என்பதில் கவனம் செலுத்துகிறது; அதிகாரப்பூர்வ பதிப்பிற்கு முன்னுரிமை அளித்தல் மற்றும் ஒரு மூல கோப்பு மாற்றத்தை முழுமையான பைனரி பேட்சாக கருதுவதில்லை. S24
  • CPython ssl: Python குறிப்பு உரிமை மற்றும் அடிப்படையான SSLContext இன் வாழ்க்கைச் சுழற்சியில் கவனம் செலுத்துகிறது; wrap_bio() கிளை பொருந்தக்கூடிய வேறுபாடுகளைக் கொண்டிருக்கும் போது பேக்போர்ட் செய்கிறது, மேலும் பயன்படுத்தப்பட்ட கிளையின் உண்மையான செயலாக்கத்தை நீங்கள் படிக்க வேண்டும். S31S47
  • Certificate distrust: இத்தகைய மேம்படுத்தல்கள் நம்பகமான பொருளாகத் தோன்றலாம் அல்லது வெளிப்படையான API மாற்றங்களைக் காட்டிலும் பட்டியல் மாற்றங்களை மறுக்கலாம். Node இன் அதே தொகுதி பாதிக்கப்பட்ட இடைநிலை CA இன் நிராகரிப்பு பொறிமுறையையும் உள்ளடக்கியது; Java மற்றும் Python இன் தொடர்புடைய நம்பிக்கை ஆதாரங்கள் இன்னும் தனித்தனியாக சரிபார்க்கப்பட வேண்டும். S19S37S46

சுதந்திரமான Brotli பிணைப்பும் சரிபார்க்கப்பட வேண்டும். கூகுள் அப்ஸ்ட்ரீம் வெளியிடப்பட்டது 1.0.10 / 1.1.1 / 1.2.1 சரி செய்ய அதே நாளில் CVE-2026-111497 . Python சொந்த நீட்டிப்புகள் அல்லது அதே பாதிக்கப்பட்ட C செயலாக்கத்தை உட்பொதிக்கும் JNI கலைப்பொருட்கள் சுயாதீனமாக புதுப்பிக்கப்பட வேண்டும்/புனரமைக்கப்பட வேண்டும்; அனைத்தும் தூய்மையானவை என்று ஊகிக்க முடியாது Java குறிவிலக்கிகள் பாதிக்கப்படுகின்றன, அல்லது மேம்படுத்துதல் என்று கருத முடியாது Node பிற மொழிகளில் உள்ள நகல்களை தானாகவே மாற்றுகிறது. S42

8. சரிபார்ப்பு மற்றும் பின்தொடர்தல் சோதனைகள்

8.1 குறைந்தபட்ச சரிபார்ப்பு சரிபார்ப்பு பட்டியல்

பொருட்களை சரிபார்க்கவும்ஆதாரம் தேவை
இயக்க நேரம்முழு பதிப்பு அல்லது விற்பனையாளர் பேக்போர்ட் ஆதாரம் உண்மையான செயல்முறை/கொள்கலனில் சரியானது
பயன்பாட்டு சார்புகள்Next/RSC/sharp, Tomcat/Spring, மற்றும் Django/certifi இறுதி வரிசைப்படுத்தல் தயாரிப்புகள் தொடர்புடைய வரம்பை எட்டியுள்ளன
மாற்று வரம்புஅனைத்து பணியாளர்/JVM/கன்டெய்னர் நகல்களும் பின்புலப் பணிகளும் புதியவற்றால் மாற்றப்பட்டு, பழைய நிகழ்வுகள் வெளியேறிவிட்டன.
TLSசெல்லுபடியாகும் டொமைன் சான்றிதழ்கள் வெற்றி; பொருந்தாத ஹோஸ்ட்பெயர்கள் மற்றும் தவறான சங்கிலிகள் கொள்கையின்படி தோல்வியடைகின்றன; விருப்ப அறக்கட்டளைகள் சேர்க்கப்பட்டுள்ளன
eMudhra அவநம்பிக்கைபாதிக்கப்பட்ட இடைநிலை CA மூலம் உருவாக்கப்பட்ட சான்றிதழ் சங்கிலி உண்மையான இயக்க நேரத்தில் நிராகரிக்கப்பட்டது அல்லது குறிப்பிட்ட விற்பனையாளரின் பாதுகாப்பு உருவாக்கம்/தொடர்பான நிராகரிப்பு பட்டியல் பயன்படுத்தப்பட்டதற்கான சான்றுகள் உள்ளன; பொதுவான TLS சோதனை அல்லது Java 8 குறுகிய பதிப்பு எண்ணின் அடிப்படையில் வழக்கை மூட முடியாது.
Node டிகோடிங் மற்றும் படங்கள்இயல்பான சுருக்கப்பட்ட பதில், பதிவேற்றம், படத்தை மேம்படுத்துதல் மற்றும் RSC செயல்பாடுகள் உள்ளன; நம்பத்தகாத மூலக் கொள்கை நடைமுறையில் உள்ளது
Java அங்கீகாரம் மற்றும் தனிமைப்படுத்தல்தவறான கடவுச்சொல் நிராகரிக்கப்பட்டது; அடையாளம்/பதில் கலவை இல்லாமல் சுயாதீன பயனர் ஒரே நேரத்தில் ஒத்திசைவற்ற கோரிக்கைகள்; எதிர்பார்த்தபடி LDAP கேட்கிறது
Python SNI / காப்பகம்சாதாரண பல டொமைன் பெயர் TLS வணிகம் நிலையானது; காப்பகப்படுத்துதல் பாதை கடந்து செல்லும் மற்றும் அனுமதிக்கப்படாத இணைப்புகளை நிராகரிக்கிறது, மேலும் கோப்பகத்திற்கு வெளியே உள்ள கோப்புகள் மாற்றப்படாது
தரவு மற்றும் செயல்பாட்டு பின்னடைவுபேஜிங், ஸ்பேஷியல் வினவல், அனுமதி சரிபார்ப்பு மற்றும் பின்னணி பணிகள் ஆகியவை திட்டத்தின் தற்போதைய சோதனைகளில் தேர்ச்சி பெற்றன
வளங்கள் மற்றும் அவதானிப்புகள்CPU, நினைவகம், பிழை விகிதம், தாமதம் மற்றும் TLS பிழைகளில் அசாதாரண அதிகரிப்பு இல்லை.
கண்டறியக்கூடிய தன்மைமேம்படுத்தல் நேரம், தொகுப்பு/பட டைஜெஸ்ட், உள்ளமைவு மாற்றங்கள், சரிபார்ப்பு முடிவுகள் மற்றும் தீர்க்கப்படாத உருப்படிகளைச் சேமிக்கவும்

இவை செயல்படுத்தல் ஏற்றுக்கொள்ளும் பரிந்துரைகள் மற்றும் ஒவ்வொரு CVE க்கும் தாக்குதல் ஸ்கிரிப்ட் தயாரிக்கப்பட வேண்டியதில்லை. செயலிழப்புகள், ஆதாரங்கள் தீர்ந்துபோதல் மற்றும் காப்பகத்தின் எல்லைக்கு வெளியே உள்ள சரிபார்ப்பு, தனிமைப்படுத்தப்பட்ட சூழலில் அப்ஸ்ட்ரீம் பின்னடைவு சோதனை அல்லது திட்ட கட்டுப்பாட்டு சோதனைத் தரவைப் பயன்படுத்த வேண்டும்.

8.2 ஒட்டுதல் மற்றும் ஊடுருவல் விசாரணை ஆகியவை வெவ்வேறு பணிகள்

வழக்கத்திற்கு மாறான டிகோடிங் பிழைகள், பணியாளர்/JVM செயலிழப்புகள், சந்தேகத்திற்கிடமான கோப்பு எழுதுதல்கள், கோப்பகத் தரவு மாற்றங்கள், அங்கீகார விதிவிலக்குகள், வெளிச்செல்லும் கோரிக்கைகள் மற்றும் நற்சான்றிதழ் பயன்பாட்டுப் பதிவுகள் ஆகியவற்றிற்காக ஏற்கனவே உள்ள பதிவுகளைச் சரிபார்க்கவும். இந்த அறிகுறிகள் சூழலில் தீர்மானிக்கப்பட வேண்டும்: ஒரு விபத்து அல்லது OOM வெற்றிகரமான சுரண்டலுக்கு ஆதாரம் அல்ல; விழிப்பூட்டல்கள் இல்லாதது ஒரு அமைப்பு பாதிக்கப்படவில்லை என்பதை நிரூபிக்கவில்லை.

அங்கீகரிக்கப்படாத மாற்றங்கள், சமரசம் செய்யப்பட்ட நற்சான்றிதழ்கள் அல்லது உறுதிப்படுத்தப்பட்ட தீங்கிழைக்கும் சார்புகள் கண்டறியப்பட்டால், ஆதாரங்கள் பாதுகாக்கப்பட வேண்டும், தொடர்புடைய நிகழ்வுகள் தனிமைப்படுத்தப்பட்டு, பாதிக்கப்பட்ட நற்சான்றிதழ்கள் நம்பகமான சூழலில் இருந்து சுழற்றப்பட்டு, கணினி மீண்டும் கட்டமைக்கப்பட வேண்டும். பேட்ச் தாக்குபவர் மூலம் பெறப்பட்ட டோக்கன்களை திரும்பப் பெறாது அல்லது மாற்றியமைக்கப்பட்ட தரவை மீட்டெடுக்காது.

9. சப்ளை செயின் பாதுகாப்பு சம்பவம்: LiteLLM 1.107.0 சமரசம்

**அதிகாரப்பூர்வ உறுதிப்படுத்தல் தேதி: 2026-10-21.**LiteLLM அதன் வெளியீட்டு குழாய் சமரசம் செய்யப்பட்டதாக அறிவித்தது. PyPI இன் litellm==1.107.0 மற்றும் அதே காலகட்டத்தின் சில Docker/GHCR தயாரிப்புகளில் ரகசிய திருடுதல் மற்றும் ரிமோட் கண்ட்ரோல் தீங்கிழைக்கும் குறியீடு உள்ளது, மேலும் தொடர்புடைய தயாரிப்புகள் திரும்பப் பெறப்பட்டன. S41

தாக்கத்தை தீர்மானிக்க, நீங்கள் வரலாற்று நிறுவல் பதிவுகள் மற்றும் படத்தை டைஜெஸ்ட் சரிபார்க்க வேண்டும்; latest, main-latest மற்றும் main-stable போன்ற லேபிள்கள் இப்போது சுத்தமான படங்களைச் சுட்டிக்காட்டுகின்றன, இது சம்பவத்தின் போது இழுக்கப்பட்ட தயாரிப்புகள் சுத்தமானவை என்பதை நிரூபிக்கவில்லை. அந்த நேரத்தில் அதிகாரப்பூர்வ பரிந்துரை 1.106.2 ஐ தற்காலிகமாக பின் செய்ய வேண்டும்; இந்த பரிந்துரை இந்த சம்பவத்தை அடிப்படையாகக் கொண்டது, மேலும் பிற பாதுகாப்பு அறிவிப்புகள் இன்னும் வரிசைப்படுத்தலின் போது சரிபார்க்கப்பட வேண்டும். S41

தொடர்புடைய தயாரிப்புகள் நிறுவப்பட்ட அல்லது இயக்கப்பட்ட சூழல்களுக்கு:

  1. நிறுவல் பதிவுகள், படங்கள் மற்றும் பதிவுகளை தனிமைப்படுத்தி பாதுகாக்கவும், சுத்தமான சூழலில் இருந்து அவற்றை ஆய்வு செய்யவும்.
  2. Python/pip ஐ முதலில் சந்தேகத்திற்கிடமான சூழலில் தொடங்க வேண்டாம்; தீங்கிழைக்கும் .pth / sitecustomize.py தொடக்கத்திற்குப் பிறகு மீண்டும் செயல்படுத்தப்படலாம்.
  3. நம்பகமான ஆதாரங்களில் இருந்து ஹோஸ்ட்கள், venvs/கன்டெய்னர்களை மீண்டும் உருவாக்கவும்; தொகுப்புகளை நிறுவல் நீக்கவோ அல்லது தரமிறக்கவோ முடியாது.
  4. கிளவுட் நற்சான்றிதழ்கள், LLM வழங்குநர் விசைகள், LiteLLM விசைகள் மற்றும் தரவுத்தள நற்சான்றிதழ்களை உண்மையான அணுகல்தன்மையின் அடிப்படையில் மற்றும் அசாதாரண பயன்பாட்டை மதிப்பாய்வு செய்யவும். S41

இது உறுதிப்படுத்தப்பட்ட விநியோகச் சங்கிலி சம்பவம் மற்றும் தீங்கிழைக்கும் குறியீடு செயல்படுத்தல், நற்சான்றிதழ் கசிவு மற்றும் அதைக் கையாளும் போது தொடர்ந்து ஏற்படும் அபாயங்கள் ஆகியவற்றைக் கருத்தில் கொள்ள வேண்டும். அக்டோபர் 23, 2026 நிலவரப்படி, ஆரம்ப ஊடுருவலை அதிகாரிகள் இன்னும் விசாரித்து வருகின்றனர்.

இணைப்பு: மேற்கோள் காட்டப்பட்ட ஆதாரங்கள் மற்றும் இணைப்புகள்

பின்வரும் ஆதார சரிபார்ப்பு தேதி 2026-10-23 ஆகும், இதில் திட்டத்தின் அதிகாரப்பூர்வ பாதுகாப்பு அறிவிப்பு, அதிகாரப்பூர்வ குறியீடு களஞ்சியம் மற்றும் விற்பனையாளரின் அறிவுறுத்தல்கள் ஆகியவை அடங்கும். முக்கிய உரை [Sx] இந்த பின்னிணைப்புக்கு ஒத்திருக்கிறது; புதுப்பிப்புகளைச் செய்யும்போது, ​​சப்ளையர் அடுத்தடுத்த திருத்தங்களை வெளியிட்டாரா என்பதை நீங்கள் சரிபார்க்க வேண்டும்.

S1 — Node.js: 2026-10-21 பாதுகாப்பு அறிவிப்பு

  • நோக்கம்: நான்கு இயக்க நேரங்கள் High, கிளைகளை பாதிக்கும், அக்டோபர் பாதுகாப்பு வெளியீடு.
  • மேற்கோள்: Official Security Bulletin

S2 — Node.js: மூன்று பராமரிப்பு வரிகளுக்கான அதிகாரப்பூர்வ வெளியீட்டு வழிமுறைகள்

  • நோக்கம்: 22.23.4, 24.22.1, 26.12.1 மற்றும் உண்மையான இணைக்கப்பட்ட இணைப்புகளைச் சரிபார்க்கவும்.
  • மேற்கோள்: Node.js 22.23.4
  • மேற்கோள்: Node.js 24.22.1
  • மேற்கோள்: Node.js 26.12.1

S3 — Vercel: Node.js Brotli RCE பாதுகாப்பு ஆலோசனை

  • நோக்கம்: உள்வரும்/வெளியே செல்லும் டிகோடிங் நிலைமைகள், WAF கவரேஜ் எல்லை, Node 20 நிலை.
  • மேற்கோள்: Node.js security advisory: Brotli decoder RCE

S4 — Node.js: Brotli அதிகாரப்பூர்வ பேட்ச் சமர்ப்பிப்பு

  • நோக்கம்: சொந்த டிகோடிங் சரிபார்ப்பு மற்றும் பிழை பரப்புதலுக்கான நடைமுறை அடிப்படை.
  • மேற்கோள்: Brotli Patch commit 49dff6f57a

S5 — Node.js: TLS முகவரி இயல்பாக்க இணைப்பு

S6 — Node.js: DNS NUL சரிபார்ப்பு இணைப்பு

  • நோக்கம்: உள்ளீடு நிராகரிப்பு மற்றும் பின்னடைவு கவரேஜ்.
  • மேற்கோள்: dns.resolve Input verification patch

S7 — Node.js: 2026-07-29 பாதுகாப்பு அறிவிப்பு

  • நோக்கம்: HTTP/2 நினைவக சோர்வு, UAF மற்றும் அனுமதி மாதிரி பாதிப்புகள்.
  • மேற்கோள்: July 2026 Security Releases

S8 — Next.js: 2026-10-14 பாதுகாப்பு புதுப்பிப்பு

  • நோக்கம்: மேம்படுத்தல் அடிப்படை மற்றும் மூன்று முக்கிய அபாயங்களை ஒருங்கிணைத்தல்.
  • மேற்கோள்: Next.js Security Update for Upstream Vulnerabilities

மேற்கோள்: S9 — Next.js：typed arrays / use cache RCE

  • நோக்கம்: GHSA-673q-mjm6-r5xr; இடைவெளி, நிலை, மதிப்பெண் மற்றும் பணிநிலை நிலையை பாதிக்கிறது.
  • மேற்கோள்: Next.js Official Security Bulletin

மேற்கோள்: S10 — React：React Server Components RCE

  • நோக்கம்: GHSA-xqc2-xf4c-x3h3; மூன்று RSC தொகுப்புகளின் பாதிக்கப்பட்ட மற்றும் நிலையான பதிப்புகள்.
  • மேற்கோள்: React Official Security Bulletin

மேற்கோள்: S11 — Next.js：SVG Image Optimization RCE

  • நோக்கம்: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, கூர்மையான மற்றும் அசல் பதிப்பு எல்லைகள்.
  • மேற்கோள்: SVG Image Optimization Official Security Bulletin

மேற்கோள்: S12 — Next.js：Server Actions DoS

  • நோக்கம்: GHSA-p3m5-59mp-jv5r; நிபந்தனைகள், பதிப்புகள் மற்றும் மதிப்பீடுகளை பாதிக்கிறது.
  • மேற்கோள்: Server Actions DoS Official Security Bulletin

S13 — Next.js: AVIF பட தேர்வுமுறை RCE

மேற்கோள்: S14 — Next.js：Windows RCE

மேற்கோள்: S15 — Next.js：next/og ImageResponse RCE

மேற்கோள்: S16 — Oracle: October 2026 CPU

S17 — Oracle: CVE-2026-91403 அவுட்-ஆஃப்-பேண்ட் அலாரம்

  • நோக்கம்: 2026-10-21, JSSE சான்றிதழ் நம்பிக்கை ஆபத்து, பாதிக்கப்பட்ட தயாரிப்புகள் மற்றும் CVSS 3.1 9.1.
  • மேற்கோள்: Oracle Security Alert

S18 — Oracle: JDK அதிகாரப்பூர்வ பதிப்பு மற்றும் பதிவிறக்கம்

  • நோக்கம்: அக்டோபர் 20 ஆம் தேதி CPU மற்றும் அக்டோபர் 21 ஆம் தேதியிலுள்ள இசைக்குழுவிற்கு வெளியே உள்ள பதிப்பை வேறுபடுத்துங்கள்; Java 8 இன் குறுகிய பதிப்பின் வரம்புகளை வேறுபடுத்துகிறது.
  • மேற்கோள்: JDK release list
  • மேற்கோள்: Oracle Java Download page

S19 — Oracle: eMudhra தற்காலிக திரும்பப் பெறும் திட்டம்

  • நோக்கம்: 2026-10-22 புதுப்பிக்கப்பட்டது; இரண்டு ரூட் சான்றிதழ்கள், கீடூல், தனிப்பயன் டிரஸ்ட்ஸ்டோர் மற்றும் திரும்பப்பெறுதல் சரிபார்ப்பு.
  • மேற்கோள்: Distrusting eMudhra Intermediate Certificates in Oracle JDK

S20 — Eclipse Adoptium: உருவாக்கப் பதிவை வெளியிடு

  • நோக்கம்: சான்றிதழ் சம்பவத்தின் காரணமாக Temurin மீண்டும் தொகுக்கப்பட்டது; Oracle பதிப்பு பின்னொட்டை இயந்திரத்தனமாகப் பயன்படுத்த முடியாது.
  • மேற்கோள்: Adoptium Release Scorecards

S21 — Apache Tomcat 9 பாதுகாப்பு அறிவிப்பு

  • நோக்கம்: 9.0.123 பிழைத்திருத்தத்துடன் 9-கிளை துல்லியமான பாதிக்கப்பட்ட இடைவெளி.
  • மேற்கோள்: Tomcat 9 vulnerabilities

S22 — Apache Tomcat 10 பாதுகாப்பு அறிவிப்பு

  • நோக்கம்: 10.1 கிளை துல்லியமான இடைவெளி மற்றும் 10.1.61 பழுது; 10.0 EOL.
  • மேற்கோள்: Tomcat 10 vulnerabilities

S23 — Apache Tomcat 11 பாதுகாப்பு அறிவிப்பு

  • நோக்கம்: மூன்று உருப்படிகள் Important, 11.0.27, AJP பொருந்தக்கூடிய நோக்கம் மற்றும் வெளிப்படுத்தல்/வெளியீட்டு தேதி.
  • மேற்கோள்: Tomcat 11 vulnerabilities

S24 — Apache Tomcat: JNDIRealm பேட்ச் கமிட்

  • நோக்கம்: சான்றிதழ் சரிபார்ப்பு இடைவெளிகளை சரிசெய்வதற்கான முறையான அடிப்படை.
  • மேற்கோள்: JNDIRealm Patch commit

மேற்கோள்: S25 — Spring：GraphQL CVE-2026-59285

மேற்கோள்: S26 — Spring：GraphQL CVE-2026-41699

  • நோக்கம்: நீங்கள் ஏன் பழைய பேஸ்லைனில் இருக்க முடியாது என்பதை விளக்குவதற்கு, முந்தைய சரிசெய்தல் நுழைவு.
  • மேற்கோள்: 6 Month GraphQL Security Bulletin

மேற்கோள்: S27 — Spring Security：CVE-2026-59270

  • நோக்கம்: UnboundID LDAP உட்பொதிக்கவும், அறியப்பட்ட மேலாண்மை அடையாளம் மற்றும் OSS/வணிக பதிப்பை வேறுபடுத்தவும்.
  • மேற்கோள்: Spring embedded LDAP Security Bulletin

மேற்கோள்: S28 — Spring Security：CVE-2026-47841

  • நோக்கம்: WebAuthn பயனர் அங்கீகாரம், அமர்வு வரிசைப்படுத்தல் மற்றும் தாக்குதல் வளாகம்.
  • மேற்கோள்: WebAuthn Security Bulletin

S29 — PSF: CVE-2026-19445 சுயாதீன பாதுகாப்பு ஆலோசனை

  • நோக்கம்: 2026-09-30, Critical, SNI நிபந்தனைகள் மற்றும் SSLContext மேற்கோள் காட்டிய தற்காலிக நடவடிக்கைகள்.
  • மேற்கோள்: SSLContext UAF Official announcement

S30 — PSF: CVE-2026-19553 சுயாதீன பாதுகாப்பு ஆலோசனை

  • நோக்கம்: 2026-09-30, High, ஹோஸ்ட் பெயர் விடுபட்டது மற்றும் வெளிப்படையான அளவுருக் குறைப்பு.
  • மேற்கோள்: wrap_bio Official announcement of hostname verification

S31 — CPython: wrap_bio அதிகாரப்பூர்வ இணைப்பு மற்றும் 3.12 பேக்போர்ட்

  • நோக்கம்: 3.10—3.12 எச்சரிக்கை பொருந்தக்கூடிய கொள்கை, None மற்றும் வெற்று சரத்திற்கு இடையே உள்ள வேறுபாடு.
  • மேற்கோள்: Main Patch PR #158503
  • மேற்கோள்: 3.12 Backfill PR #158513
  • மேற்கோள்: 3.15 Backfill PR #158511

S32 — PSF: CVE-2026-82049 சுயாதீன பாதுகாப்பு ஆலோசனை

  • நோக்கம்: 2026-09-14, High, இணைப்பு சேர்க்கை, மெட்டாடேட்டா மாற்றம் மற்றும் உள்ளடக்க வெளிப்பாடு.
  • மேற்கோள்: tarfile link bypasses the official announcement

S33 — CPython: செப்டம்பர் இறுதியில்/அக்டோபர் தொடக்கத்தில் அதிகாரப்பூர்வ பாதுகாப்பு வெளியீடு

  • நோக்கம்: குறைந்தபட்ச சரிசெய்தல் பதிப்பு, மூலக் குறியீடு விநியோக முறை மற்றும் tarfile குறிப்பிட்ட சிக்கல்களுக்கு 3.14 விலக்கு.
  • மேற்கோள்: Python Cross-branch security release instructions
  • மேற்கோள்: Python 3.11.17
  • மேற்கோள்: Python 3.12.15
  • மேற்கோள்: Python 3.13.16
  • மேற்கோள்: Python 3.14.8

S34 — CPython: 3.10 கடைசி பாதுகாப்பான வெளியீடு

  • நோக்கம்: 3.10.22 மற்றும் அப்ஸ்ட்ரீம் வாழ்க்கைச் சுழற்சியின் முடிவு.
  • மேற்கோள்: Python 3.10.22

S35 — CPython: 2026-10-21 அவசரகால பராமரிப்பு பதிப்பு

  • நோக்கம்: 3.13.17 / 3.14.9 / 3.15.1, உள்ளமைக்கப்பட்ட pip மற்றும் certifi புதுப்பிப்புகள், ஏற்கனவே உள்ள venv தேவைகள்.
  • மேற்கோள்: Python 3.13.17
  • மேற்கோள்: Python 3.14.9
  • மேற்கோள்: Python 3.15.1

S36 — certifi: emSign சான்றிதழ் அவநம்பிக்கை அறிவிப்பு

S37 — PSF: Python பயனர்கள் மீது eMudhra / emSign இன் தாக்கம்

  • நோக்கம்: certifi .19 பரிந்துரை, pip/uv அடிப்படை, SHA-256 உடன் நம்பகமான துவக்க மேம்படுத்தல் கட்டளை.
  • மேற்கோள்: PSF Official event and upgrade instructions

pip துவக்க மேம்படுத்தல் கட்டளை S37 ஆல் மேற்கோள் காட்டப்பட்ட அதிகாரப்பூர்வ வழிமுறைகளால் வழங்கப்படுகிறது. நம்பகமானதாக உறுதிசெய்யப்பட்ட Python சூழல்களில் மட்டுமே பயன்படுத்தப்பட வேண்டும்; பிரிவு 9 இல் விஷம் இருப்பதாக சந்தேகம் இருந்தால், முதலில் தனிமைப்படுத்தப்பட்டு சம்பவ செயல்முறையின் படி மீண்டும் உருவாக்கவும். இது வீல் உள்ளடக்க ஹாஷை சரிசெய்து, திட்டச் செயல்பாட்டின் படி பிற சார்புகளை மேம்படுத்துகிறது.

python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70"

S38 — Django: 2026-08-04 பாதுகாப்பான வெளியீடு

  • பயன்பாடு: CVE-2026-15307, GeoDjango சுரண்டல் நிலைமைகள், ஆரம்ப திருத்தங்கள் மற்றும் இணக்க மாற்றங்கள்.
  • மேற்கோள்: Django 6.0.8 / 5.2.17

S39 — Django: 2026-10-06 பாதுகாப்பான வெளியீடு

  • நோக்கம்: CVE-2026-87890, வடிவியல் DoS தற்போது தேர்ந்தெடுக்கப்பட்ட அடிப்படையுடன் அடுத்தடுத்த வலுவூட்டல்.
  • மேற்கோள்: Django 6.1.2 / 6.0.9 / 5.2.18

S40 — PSF / CPython: சமீபத்திய tar_filter பக்க குறிப்பு

  • நோக்கம்: 2026-10-22, CVE-2026-114583 (Medium); PR இணைப்பு என்பது அதிகாரப்பூர்வ பராமரிப்பு பதிப்பு வெளியிடப்பட்டது என்று அர்த்தமல்ல.
  • மேற்கோள்: PSF Independent Announcement
  • மேற்கோள்: CPython Patch PR #160098

S41 — LiteLLM: அதிகாரப்பூர்வ விநியோகச் சங்கிலி சம்பவ அறிக்கை, அக்டோபர் 21

  • நோக்கம்: 1.107.0 அசுத்தமான தயாரிப்பு, வரலாற்று செரிமானம், தனிமைப்படுத்தல் புனரமைப்பு மற்றும் நற்சான்றிதழ் அகற்றல்.
  • மேற்கோள்: Contained: LiteLLM v1.107.0 Compromised

S42 — Google Brotli: அதிகாரப்பூர்வ பாதுகாப்பான பதிப்பு

  • நோக்கம்: சுதந்திரமான Brotli 1.0.10 / 1.1.1 / 1.2.1 மற்றும் குறுக்கு மொழி உட்பொதிக்கப்பட்ட நகல் சரிபார்ப்பு அடிப்படை.
  • மேற்கோள்: Brotli releases

S43 — mise: கட்டளை அதிகாரப்பூர்வ ஆவணங்களைப் பயன்படுத்தவும்

  • நோக்கம்: உலகளாவிய கட்டமைப்பின் கருவி பதிப்பு மற்றும் கட்டளை சொற்பொருளைக் குறிப்பிடவும்.
  • மேற்கோள்: mise use

S44 — PyPA: pip-ஆடிட் அதிகாரப்பூர்வ திட்டம்

  • நோக்கம்: Python சார்பு பாதிப்பு தணிக்கையின் நோக்கம் மற்றும் திறன் எல்லைகள்.
  • மேற்கோள்: pip-audit

S45 — Python: டார்ஃபைல் பிரித்தெடுத்தல் வடிகட்டி ஆவணம்

  • நோக்கம்: தரவு உத்தி, இயல்புநிலை நடத்தை மாற்றங்கள் மற்றும் சாண்ட்பாக்ஸை மாற்ற முடியாத கட்டுப்பாடுகள்.
  • மேற்கோள்: tarfile extraction filters

S46 — Node.js: இடைநிலை CA நிராகரிப்பு வழிமுறை

  • நோக்கம்: இந்த eMudhra தொடர்பான நம்பிக்கைச் சங்கிலி செயலாக்கமானது அனைத்து ரூட் சான்றிதழ்களின் கிரிப்டோகிராஃபிக் செல்லாததாக்கலுக்குச் சமமானதாக இல்லை.
  • மேற்கோள்: Node.js PR #66871

S47 — CPython: SNI UAF தொழில்நுட்ப குறிப்புகள் மற்றும் திருத்தங்கள்

  • நோக்கம்: குறிப்பு வாழ்க்கை சுழற்சி, சிறப்பு உருவாக்க நிலைமைகள் மற்றும் கிளை பின்னடைவு.
  • மேற்கோள்: official issue #156293
  • மேற்கோள்: official patch PR #158504
  • மேற்கோள்: 3.15 Backfill PR #158514