p PatchFirst

CVE-2021-39171

CVE-2021-39171 · Unlimited transforms allowed for signed nodes

CVSS 5.3 · Средний · EPSS 1,3% · Есть исправление

Затронуты ли вы?

Как узнать установленную версию:

npm ls passport-saml

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания passport-saml и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Passport-SAML is a SAML 2.0 authentication provider for Passport, the Node.js authentication library. Prior to version 3.1.0, a malicious SAML payload can require transforms that consume significant system resources to process, thereby resulting in reduced or denied service. This would be an effective way to perform a denial-of-service attack. This has been resolved in version 3.1.0. The resolution is to limit the number of allowable transforms to 2.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • passport-saml

    Версии
    • < 3.1.0: Затронуто

    Нет опубликованного исправления

  • passport-saml npm

    Затронутые диапазоны версий
    • SEMVER: < 3.1.0

    Обновитесь до 3.1.0

Первоисточники

Проверьте свой сервер →