Më 13 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-fpq8-4vhr-rcxx (CVE-2026-70188) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën Microsoft.AspNetCore.App.Runtime.linux-arm të ekosistemit NuGet. Dobësia prek gjithsej 44 paketa.
Paketat e prekura
- Microsoft.AspNetCore.App.Runtime.linux-arm (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.linux-arm64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.linux-musl-arm (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.linux-musl-x64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.linux-x64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.osx-arm64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2 - Microsoft.AspNetCore.App.Runtime.osx-x64 (NuGet) — versionet e prekura:
>= 11.0.0-preview.1, <= 11.0.0-rc.1; versioni me rregullim:11.0.0-rc.2
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling'))
- Identifikuesit: GHSA-fpq8-4vhr-rcxx, CVE-2026-70188
Përmbledhja zyrtare
Microsoft Security Advisory CVE-2026-70188 – ASP.NET Core Security Feature Bypass Vulnerability — Përmbledhje ekzekutive Microsoft po lëshon këtë këshillë sigurie për të siguruar informacion në lidhje me një cenueshmëri në Microsoft.AspNetCore.Server.Kestrel.Core. Kjo këshillë gjithashtu ofron udhëzime se çfarë mund të bëjnë zhvilluesit për të përditësuar aplikacionet e tyre për të hequr këtë cenueshmëri. Kestrel pranon karaktere të linjës së re në rimorkiot e kërkesave http/2 dhe vlerat e marra nga tabela dinamike HPACK në vend që t’i trajtojë ato si të keqformuara. Njoftimi për këtë çështje mund të gjendet në https://github.com/dotnet/announcements/issues/462 Detajet e CVSS – Versioni: 3.1 – Ashpërsia: Kritike – Rezultati: 9.1 – Vektori: CVSS: 3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Microsoft.AspNetCore.App.Runtime.linux-arm, përditësojeni sa më shpejt në versionin 11.0.0-rc.2 ose më të ri.
