Qwik: Awaria dowolnego serwera Qwik za pośrednictwem thenable w Resource
Podsumowanie
Serwer Qwik w domyślnej konfiguracji może zostać doprowadzony do awarii za pomocą jednego nieuwierzytelnionego żądania HTTP. Podczas parsowania treści qwik-json ResourceSerializer.$fill$ wykonuje Promise.resolve(resource._resolved). Jeśli _resolved jest zwykłym obiektem, którego .then to QRL dla niezarejestrowanego symbolu, asynchroniczny QRL ulega odrzuceniu, odrzucenie to pozostaje nieobsłużone, a Node kończy proces zgodnie ze swoją domyślną polityką nieobsłużonych odrzuceń (unhandled rejection).
Wpływ
Jedno nieuwierzytelnione żądanie powoduje awarię serwera. Wysyłanie żądań w pętli pozwala atakującemu na ciągłe utrzymywanie wszystkich replik w stanie niedostępności.
Co trzeba zrobić
Zaktualizuj pakiet @builder.io/qwik do wersji 1.20.0 lub nowszej oraz @qwik.dev/core do wersji 2.0.0-beta37 lub nowszej.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @builder.io/qwik | < 1.20.0 | 1.20.0 |
| Paczka npm | @qwik.dev/core | < 2.0.0-beta37 | 2.0.0-beta37 |
Odnośniki
- https://github.com/QwikDev/qwik/security/advisories/GHSA-x586-xvc8-g7q6
- https://nvd.nist.gov/vuln/detail/CVE-2026-84994
- https://github.com/QwikDev/qwik/pull/8655
- https://github.com/QwikDev/qwik/commit/c1e7444402f9592b5cf9096e10bf303ab4640511
- https://github.com/QwikDev/qwik
- https://github.com/QwikDev/qwik/releases/tag/@builder.io/qwik@1.20.0
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-248- Platforma
- npm
- Paczka
@builder.io/qwik, @qwik.dev/core- Ujawniono
- 15.10.2026
- Aktualizacja
- 21.10.2026 10:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-x586-xvc8-g7q6 - CC BY 4.0
Historia podatności: @qwik.dev/core
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.