Node.js يصدر تحديثا أمنيا لفرع 22: ما الذي يجب أن يفحصه فريقك؟

تفاصيل الإعلان الرسمي

نشر مشروع Node.js في 21 أكتوبر 2026 الإصدار 22.23.4 من فرع Jod ذي الدعم الطويل، وصنفه صراحة بأنه إصدار أمني. تسجل الملاحظات إصلاحا لرفض صيغ غير معيارية لعناوين IP في TLS، وفحص مدخلات DNS التي تتضمن محارف صفرية، وتحديثا مرتبطا بمكون Brotli. صنفت هذه البنود بدرجة خطورة مرتفعة في صفحة الإصدار.

تضم القائمة أيضا إصلاحات متوسطة الخطورة في HTTP والتعامل مع مخازن عشوائية عبر اللقطات، وإصلاحا أقل خطورة في فحص الأذونات. هذه المعلومات تصف الإصدار الرسمي، ولا تعني أن كل تطبيق يستخدم Node.js قابل للاستغلال بالطريقة نفسها. يتوقف تقييم تطبيق بعينه على نسخته، ومسارات التنفيذ المتاحة، وكيفية تعامله مع المدخلات.

قراءة فكرة بوست: احصر النسخ قبل التنفيذ

الخطوة العملية المقترحة هي كتابة قائمة بالخدمات والمهام الخلفية وصور الحاويات التي تشغل Node.js، ثم تسجيل النسخة الفعلية داخل كل بيئة. وجود نسخة حديثة على حاسوب المطور لا يخبرنا بما يعمل في الخادم، كما أن تعديل ملف إعداد لا يثبت أن عملية النشر اكتملت.

بعد ذلك، يمكن اختبار التحديث في بيئة تجريبية باستخدام حالات تمثل الاتصال الخارجي ومعالجة الطلبات التي يعتمد عليها التطبيق. لا نوصي بتغيير فرع التشغيل الرئيسي لمجرد معالجة إصدار تصحيحي، من دون مراجعة التوافق. الهدف هو إغلاق الفجوة المحددة مع الحفاظ على القدرة على فهم أي تغير في السلوك.

متى تعتبر المعالجة مكتملة؟

في مراجعتنا التحريرية، ينبغي أن يتضمن سجل العمل رقم النسخة قبل التحديث وبعده، والخدمات التي أعيد تشغيلها، ونتيجة اختبار وظائفها الأساسية. إذا كانت لديك مهام مجدولة قليلة التشغيل، فلا تنس أنها قد تستخدم صورة قديمة حتى بعد تحديث الموقع. أما الحكم على التعرض الأمني الفعلي فيحتاج إلى مراجعة النشرات المرتبطة والتهيئة المستخدمة. هذا التقرير يلخص ما أعلنه المشروع، ولا يقدم نتيجة فحص أمني لحساب أو خادم معين.