Đã kiểm tra tính đến ngày 31 tháng 10 năm 2026.

Nếu website của bạn có biểu mẫu liên hệ, cho phép tải tệp lên hoặc xử lý tài liệu PDF, một phần công việc đó diễn ra bên trong các gói thư viện mà lập trình viên đã cài một lần và có thể chưa xem lại từ đó. Bài tổng hợp này nói về ba nhóm thông báo. Bản ghi thông báo đã được GitHub rà soát cho cả ba nhóm được công bố ngày 30 tháng 10 năm 2026. Hai thông báo về hapi bắt nguồn từ thông báo gốc của dự án công bố ngày 28 tháng 10. Các nguồn của bài viết này được kiểm tra vào ngày 31 tháng 10.

Không thông báo nào trong số này mô tả việc thực thi mã từ xa hay đánh cắp dữ liệu. Mỗi thông báo mô tả một cách mà dữ liệu đầu vào được dựng cố ý có thể khiến máy chủ hoặc tiến trình xử lý bận liên tục, làm website chậm hoặc không phản hồi. Việc gói thư viện có mặt trong hệ thống không phải là bằng chứng bị ảnh hưởng. Điều quan trọng là tính năng có lỗi có thực sự nhận dữ liệu không tin cậy trên website đang vận hành hay không. Nhà cung cấp của bạn có thể kiểm chứng điều đó, và chủ sở hữu hay người vận hành có quyền truy cập mã nguồn và cấu hình đang triển khai cũng kiểm chứng được.

1. joi: kiểm tra email cho phép nhiều địa chỉ

Đây là gì. joi là thư viện kiểm tra dữ liệu đầu vào được dùng rộng rãi. CVE-2026-118772 (GHSA-4528-x5fx-h6hg) ảnh hưởng joi từ 17.1.1 đến trước 17.13.9, và từ 18.0.0 đến trước 18.3.1. Bản vá là 17.13.9 và 18.3.1, cùng phát hành ngày 28 tháng 10 năm 2026. Gói cũ @hapi/joi từ 16.0.0 trở đi được liệt kê là bị ảnh hưởng, và không có bản vá nào được liệt kê cho gói này.

Khi nào áp dụng. Chỉ với ứng dụng đưa văn bản không tin cậy vào quy tắc email được cấu hình chấp nhận nhiều địa chỉ, mà không có giới hạn độ dài hiệu quả được áp dụng trước. Một phép so khớp mẫu chậm có thể chặn vòng lặp sự kiện và làm giảm khả năng sẵn sàng.

Hãy yêu cầu nhà cung cấp:

  • Xác nhận từ tệp khóa phiên bản và từ cây phụ thuộc đang triển khai xem nhánh joi nào được cài, và có schema nào dùng tùy chọn email nhiều địa chỉ cho dữ liệu người dùng nhập hay không.
  • Cập nhật lên 17.13.9 hoặc 18.3.1 theo đúng nhánh, sau đó dựng lại và triển khai lại.
  • Coi @hapi/joi cũ là một việc chuyển đổi cần kiểm thử. Đừng mặc định rằng chuyển sang gói hiện tại chỉ là thay thế trực tiếp.
  • Đọc thông báo gốc trước khi dựa vào giới hạn độ dài tạm thời. Cách này chỉ có tác dụng khi việc kiểm tra từ chối sớm, và một số cấu hình làm nó vô hiệu.

2. Tải tệp multipart trên hapi: phân tích Content-Disposition

Đây là gì. CVE-2026-119202 (GHSA-8494-f6mr-cjpv) ảnh hưởng @hapi/content 6.0.2 trở về trước, đã sửa trong 6.0.3. Gói cũ content từ 3.0.6 đến 4.0.6 bị ảnh hưởng, và không có bản sửa nào được liệt kê cho nhánh đó. Bản 6.0.3 phát hành ngày 21 tháng 10 năm 2026, trước khi thông báo được công bố.

Khi nào áp dụng. Mọi đoạn mã dùng thư viện này để phân tích tiêu đề Content-Disposition không tin cậy. Điều này bao gồm các route hapi bật payload multipart, nơi tiêu đề được phân tích qua @hapi/pez trước khi handler hoặc bước kiểm tra của bạn chạy. Kẻ tấn công có tiếp cận được route đó hay không, và có cần đăng nhập hay không, phụ thuộc vào cấu hình route của bạn. Hậu quả là cạn kiệt CPU, không phải thực thi mã.

Hãy yêu cầu nhà cung cấp:

  • Báo cáo phiên bản @hapi/content đang cài, kể cả khi là phụ thuộc gián tiếp, không chỉ các gói cấp cao nhất.
  • Liệt kê các route bật payload multipart và ai có thể truy cập chúng.
  • Cập nhật lên 6.0.3 hoặc bản vá mới hơn tương thích, dựng lại và triển khai lại. Với nhánh cũ, lập kế hoạch chuyển đổi có kiểm thử thay vì mặc định đó là thay thế trực tiếp.
  • Giữ giới hạn kích thước payload nhỏ. Giới hạn nhỏ hơn làm giảm thời gian treo tối đa và mức rủi ro, nhưng không phải là bản sửa hoàn chỉnh, nên vẫn bắt buộc phải nâng cấp.

3. pypdf: tiến trình xử lý PDF

Đây là gì. pypdf là thư viện Python, không phải plugin WordPress và không phải Gotenberg. Bảy thông báo, với bản ghi đã được GitHub rà soát công bố ngày 30 tháng 10, mô tả các trường hợp một tệp PDF được dựng cố ý có thể làm treo tiến trình xử lý hoặc tiêu tốn quá mức CPU hay bộ nhớ trong những thao tác cụ thể: mở tệp không hoàn chỉnh, duyệt cây trang, sao chép từ điển, đọc nhãn trang, hoặc đếm trang trong tệp mã hóa. Không thông báo nào nói đến thực thi mã. Việc chỉ phục vụ các tệp PDF tĩnh trên website không kích hoạt bất kỳ trường hợp nào.

Ảnh hưởng trước 6.21.4, đã sửa trong 6.21.4:

Ảnh hưởng trước 6.21.3, đã sửa trong 6.21.3:

Nâng cấp lên 6.21.4, phát hành ngày 28 tháng 10 năm 2026, hoặc bản vá mới hơn sẽ bao phủ cả hai nhóm.

Hãy yêu cầu nhà cung cấp:

  • Xác định tiến trình nào thực sự phân tích, sao chép, đếm trang hay đọc nhãn PDF bằng pypdf, và phiên bản đang cài bên trong tiến trình đã triển khai đó, không phải trên máy lập trình viên.
  • Cập nhật, triển khai lại, rồi kiểm chứng bằng một lượt tải tệp bình thường vô hại và chạy xử lý đầy đủ.
  • Duy trì giới hạn CPU, bộ nhớ, thời gian cùng việc tách hàng đợi cho tiến trình xử lý như biện pháp giảm rủi ro vận hành. Chúng không thay thế bản vá, và một giới hạn kích thước tệp chung không khắc phục được tất cả các trường hợp này.

Nên yêu cầu gì, gói gọn trong một tin nhắn

Gửi nhà cung cấp một yêu cầu ngắn gồm bốn điều: bằng chứng về phiên bản đang triển khai và từng thông báo có áp dụng hay không, kế hoạch cập nhật có ngày cụ thể, kiểm thử sau phát hành với biểu mẫu, tải tệp và xử lý PDF bình thường, và theo dõi độ trễ phản hồi, số lần khởi động lại tiến trình cùng độ dài hàng đợi trong vài ngày sau đó. Khắc phục nghĩa là thay đổi phụ thuộc tương thích, cập nhật tệp khóa phiên bản, dựng lại và triển khai lại, được kiểm chứng trên tiến trình thực tế, chứ không phải tải bản mới về máy tính của ai đó. Bài hướng dẫn về giám sát vượt ra ngoài uptime giải thích những tín hiệu cho thấy website chậm đi trước khi người dùng phàn nàn, và các quy tắc chiến lược sao lưu nói về việc có điểm khôi phục đã kiểm thử trước mọi thay đổi phụ thuộc.

Không nguồn nào được kiểm tra cho bài viết này xác lập việc khai thác thực tế, và chúng tôi không khẳng định theo chiều nào.