Qwik: Awaria dowolnego serwera Qwik za pośrednictwem thenable w Resource
Podsumowanie
Serwer Qwik w domyślnej konfiguracji może zostać doprowadzony do awarii za pomocą jednego nieuwierzytelnionego żądania HTTP. Podczas parsowania treści qwik-json ResourceSerializer.$fill$ wykonuje Promise.resolve(resource._resolved). Jeśli _resolved jest zwykłym obiektem, którego .then to QRL dla niezarejestrowanego symbolu, asynchroniczny QRL ulega odrzuceniu, odrzucenie to pozostaje nieobsłużone, a Node kończy proces zgodnie ze swoją domyślną polityką nieobsłużonych odrzuceń (unhandled rejection).
Wpływ
Jedno nieuwierzytelnione żądanie powoduje awarię serwera. Wysyłanie żądań w pętli pozwala atakującemu na ciągłe utrzymywanie wszystkich replik w stanie niedostępności.
Co trzeba zrobić
Zaktualizuj pakiet @builder.io/qwik do wersji 1.20.0 lub nowszej oraz @qwik.dev/core do wersji 2.0.0-beta37 lub nowszej.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @builder.io/qwik | < 1.20.0 | 1.20.0 |
| Paczka npm | @qwik.dev/core | < 2.0.0-beta37 | 2.0.0-beta37 |
Odnośniki
- https://github.com/QwikDev/qwik/security/advisories/GHSA-x586-xvc8-g7q6
- https://nvd.nist.gov/vuln/detail/CVE-2026-84994
- https://github.com/QwikDev/qwik/pull/8655
- https://github.com/QwikDev/qwik/commit/c1e7444402f9592b5cf9096e10bf303ab4640511
- https://github.com/QwikDev/qwik
- https://github.com/QwikDev/qwik/releases/tag/@builder.io/qwik@1.20.0
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-248- Platforma
- npm
- Paczka
@builder.io/qwik, @qwik.dev/core- Ujawniono
- 15.10.2026
- Aktualizacja
- 21.10.2026 10:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-x586-xvc8-g7q6 - CC BY 4.0
Historia podatności: @builder.io/qwik
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 5
- Pierwsza → ostatnia
- 01.2023 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 2
- Wysoka 1
- Średnia 2
Ujawnienia w latach
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 2
-
Qwik: Awaria dowolnego serwera Qwik za pośrednictwem thenable w Resource ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.