p PatchFirst

CVE-2023-24807

CVE-2023-24807 · Undici vulnerable to Regular Expression Denial of Service in Headers

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Undici is an HTTP/1.1 client for Node.js. Prior to version 5.19.1, the `Headers.set()` and `Headers.append()` methods are vulnerable to Regular Expression Denial of Service (ReDoS) attacks when untrusted values are passed into the functions. This is due to the inefficient regular expression used to normalize the values in the `headerValueNormalize()` utility function. This vulnerability was patched in v5.19.1. No known workarounds are available.

CVSS 7.5 · Высокий · EPSS 1,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • undici

    Версии
    • < 5.19.1: Затронуто

    Нет опубликованного исправления

  • node-undici Debian:12

    Версии
    • 5.15.0+dfsg1+~cs20.10.9.3-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1

    Обновитесь до 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1

  • node-undici Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.19.1+dfsg1+~cs20.10.9.5-1

    Обновитесь до 5.19.1+dfsg1+~cs20.10.9.5-1

  • node-undici Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 5.19.1+dfsg1+~cs20.10.9.5-1

    Обновитесь до 5.19.1+dfsg1+~cs20.10.9.5-1

  • undici npm

    Затронутые диапазоны версий
    • SEMVER: < 5.19.1

    Обновитесь до 5.19.1

Первоисточники

Проверьте свой сервер →