Qwik: Absturz jedes Qwik-Servers über Resource-Thenable
Zusammenfassung
Ein Qwik-Server in der Standardkonfiguration kann durch eine einzelne nicht authentifizierte HTTP-Anfrage zum Absturz gebracht werden. Während des Parsens des qwik-json-Bodys führt ResourceSerializer.$fill$ Promise.resolve(resource._resolved) aus. Wenn _resolved ein einfaches Objekt ist, dessen .then eine QRL für ein nicht registriertes Symbol darstellt, wird die asynchrone QRL zurückgewiesen (rejection). Da diese Zurückweisung unbehandelt bleibt, beendet Node den Prozess gemäß seiner standardmäßigen Richtlinie für nicht behandelte Rejections.
Auswirkungen
Eine einzige nicht authentifizierte Anfrage bringt den Server zum Absturz. Durch wiederholte Anfragen können Angreifer alle Replikate dauerhaft außer Betrieb halten.
Was zu tun ist
Aktualisieren Sie @builder.io/qwik auf Version 1.20.0 oder höher und @qwik.dev/core auf Version 2.0.0-beta37 oder höher.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
Verweise
- https://github.com/QwikDev/qwik/security/advisories/GHSA-x586-xvc8-g7q6
- https://nvd.nist.gov/vuln/detail/CVE-2026-84994
- https://github.com/QwikDev/qwik/pull/8655
- https://github.com/QwikDev/qwik/commit/c1e7444402f9592b5cf9096e10bf303ab4640511
- https://github.com/QwikDev/qwik
- https://github.com/QwikDev/qwik/releases/tag/@builder.io/qwik@1.20.0
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-248- Plattform
- npm
- Paket
@builder.io/qwik, @qwik.dev/core- Veröffentlicht
- 15.10.2026
- Aktualisiert
- 20.10.2026 08:34
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-x586-xvc8-g7q6 - CC BY 4.0
Schwachstellenhistorie: @builder.io/qwik
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 5
- Erste → letzte
- 01.2023 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 2
- Hoch 1
- Mittel 2
Veröffentlichungen pro Jahr
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 2
-
Qwik: Absturz jedes Qwik-Servers über Resource-Thenable dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.