Më 6 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-w5f4-fx9m-m4q7 (CVE-2026-105794) për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën Microsoft.Native.Quic.MsQuic.OpenSSL të ekosistemit NuGet. Dobësia prek gjithsej 3 paketa.
Paketat e prekura
- Microsoft.Native.Quic.MsQuic.OpenSSL (NuGet) — versionet e prekura:
< 2.4.20; versioni me rregullim:2.4.20 - Microsoft.Native.Quic.MsQuic.OpenSSL (NuGet) — versionet e prekura:
>= 2.5.0, < 2.5.11; versioni me rregullim:2.5.11 - Microsoft.Native.Quic.MsQuic.OpenSSL (NuGet) — versionet e prekura:
>= 2.6.0, < 2.6.1; versioni me rregullim:2.6.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-295 (Improper Certificate Validation)
- Identifikuesit: GHSA-w5f4-fx9m-m4q7, CVE-2026-105794
Përmbledhja zyrtare
MsQuic: Validimi i pasaktë i certifikatës në Microsoft.Native.Quic.MsQuic.OpenSSL — Verifikimi i pasaktë i emrit të hostit TLS lejon një sulm njeri-në-mes (MITM) ndaj MsQuic. Detajet Vetëm MsQuic me backendet OpenSSL dhe QuicTLS TLS është prekur (backend i Schannel nuk është prekur). Arnimet 2.6.1, 2.5.11 dhe 2.4.20 Ndikimi Një sulmues në rrugë mund të prishë identitetin e serverit duke përdorur një certifikatë që nuk përputhet me emrin e hostit të serverit të synuar.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin Microsoft.Native.Quic.MsQuic.OpenSSL, përditësojeni sa më shpejt në versionin 2.4.20 ose më të ri.
