Më 13 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-rv87-ccxw-8ggf (CVE-2026-88092) për një dobësi me rrezikshmëri kritike (CVSS 9.4) në paketën Microsoft.AspNetCore.App.Runtime.linux-arm të ekosistemit NuGet. Dobësia prek gjithsej 44 paketa.
Paketat e prekura
- Microsoft.AspNetCore.App.Runtime.linux-arm (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.linux-arm64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.linux-musl-arm (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.linux-musl-x64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.linux-x64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.osx-arm64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32 - Microsoft.AspNetCore.App.Runtime.osx-x64 (NuGet) — versionet e prekura:
>= 8.0.0, <= 8.0.31; versioni me rregullim:8.0.32
Detaje
- Rrezikshmëria: Kritike (CVSS 9.4)
- CWE: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling'))
- Identifikuesit: GHSA-rv87-ccxw-8ggf, CVE-2026-88092
Përmbledhja zyrtare
Microsoft Security Advisory CVE-2026-88092 – ASP.NET Core Security Feature Bypass Vulnerability — Përmbledhje ekzekutive Microsoft po lëshon këtë këshillë sigurie për të siguruar informacion në lidhje me një cenueshmëri në Microsoft.AspNetCore.Server.Kestrel.Core. Kjo këshillë gjithashtu ofron udhëzime se çfarë mund të bëjnë zhvilluesit për të përditësuar aplikacionet e tyre për të hequr këtë cenueshmëri. Një lidhje e ndërprerë Kestrel http/1 mund të riparojë bajtet e trupit të kërkesës së palexuar si një kërkesë tjetër, duke krijuar një rrugë për kontrabandimin e kërkesave ose desinkronizimin. Njoftimi për këtë çështje mund të gjendet në https://github.com/dotnet/announcements/issues/472 Detajet e CVSS – Versioni: 3.1 – Ashpërsia: Kritike – Rezultati: 9.4 – Vektori: CVSS: 3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L – Dobësia: CWE-444…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Microsoft.AspNetCore.App.Runtime.linux-arm, përditësojeni sa më shpejt në versionin 8.0.32 ose më të ri.
