CVE-2024-10491
CVE-2024-10491 · Preload arbitrary resources by injecting additional `Link` headers
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
A vulnerability has been identified in the Express response.links function, allowing for arbitrary resource injection in the Link header when unsanitized data is used. The issue arises from improper sanitization in `Link` header values, which can allow a combination of characters like `,`, `;`, and `<>` to preload malicious resources. This vulnerability is especially relevant for dynamic parameters.
CVSS 4.0 · Средний · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
express
- Версии
- ≥ 3.0.0-alpha1, ≤ 3.21.2: Затронуто (semver)
Нет опубликованного исправления
node-express Debian:12
- Затронутые диапазоны версий
- ECOSYSTEM: < 4.1.1~dfsg-1
Обновитесь до 4.1.1~dfsg-1
node-express Debian:13
- Затронутые диапазоны версий
- ECOSYSTEM: < 4.1.1~dfsg-1
Обновитесь до 4.1.1~dfsg-1
node-express Debian:14
- Затронутые диапазоны версий
- ECOSYSTEM: < 4.1.1~dfsg-1
Обновитесь до 4.1.1~dfsg-1
express npm
- Затронутые диапазоны версий
- SEMVER: < 4.0.0-rc1
Обновитесь до 4.0.0-rc1