p PatchFirst

CVE-2022-24999

CVE-2022-24999

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

qs before 6.10.3, as used in Express before 4.17.3 and other products, allows attackers to cause a Node process hang for an Express application because an __ proto__ key can be used. In many typical Express use cases, an unauthenticated remote attacker can place the attack payload in the query string of the URL that is used to visit the application, such as a[__proto__]=b&a[__proto__]&a[length]=100000000. The fix was backported to qs 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, and 6.2.4 (and therefore Express 4.17.3, which has "deps: qs@6.9.7" in its release description, is not vulnerable).

CVSS 7.5 · Высокий · EPSS 15,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • n/a

    Версии
    • n/a: Затронуто

    Нет опубликованного исправления

  • node-qs Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.10.3+ds+~6.9.7-1

    Обновитесь до 6.10.3+ds+~6.9.7-1

  • node-qs Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.10.3+ds+~6.9.7-1

    Обновитесь до 6.10.3+ds+~6.9.7-1

  • node-qs Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.10.3+ds+~6.9.7-1

    Обновитесь до 6.10.3+ds+~6.9.7-1

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.10.0, < 6.10.3

    Обновитесь до 6.10.3

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.9.0, < 6.9.7

    Обновитесь до 6.9.7

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.8.0, < 6.8.3

    Обновитесь до 6.8.3

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.7.0, < 6.7.3

    Обновитесь до 6.7.3

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.6.0, < 6.6.1

    Обновитесь до 6.6.1

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.5.0, < 6.5.3

    Обновитесь до 6.5.3

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.4.0, < 6.4.1

    Обновитесь до 6.4.1

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 6.3.0, < 6.3.3

    Обновитесь до 6.3.3

  • qs npm

    Затронутые диапазоны версий
    • SEMVER: < 6.2.4

    Обновитесь до 6.2.4

  • node-express Ubuntu:Pro:20.04:LTS

    Версии
    • 4.17.1-1
    • 4.17.1-2
    • 4.17.1-2ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 4.17.1-2ubuntu0.1~esm2

    Обновитесь до 4.17.1-2ubuntu0.1~esm2

  • node-qs Ubuntu:Pro:20.04:LTS

    Версии
    • 6.5.2-1
    • 6.9.0+ds-1
    • 6.9.1+ds-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.9.1+ds-1ubuntu0.1~esm1

    Обновитесь до 6.9.1+ds-1ubuntu0.1~esm1

Первоисточники

Проверьте свой сервер →