p PatchFirst

CVE-2024-45296

CVE-2024-45296 · path-to-regexp outputs backtracking regular expressions

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

path-to-regexp turns path strings into a regular expressions. In certain cases, path-to-regexp will output a regular expression that can be exploited to cause poor performance. Because JavaScript is single threaded and regex matching runs on the main thread, poor performance will block the event loop and lead to a DoS. The bad regular expression is generated any time you have two parameters within a single segment, separated by something that is not a period (.). For users of 0.1, upgrade to 0.1.10. All other users should upgrade to 8.0.0.

CVSS 7.5 · Высокий · EPSS 0,9% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • path-to-regexp

    Версии
    • < 0.1.10: Затронуто
    • >= 0.2.0, < 8.0.0: Затронуто

    Нет опубликованного исправления

  • node-path-to-regexp Debian:12

    Версии
    • 6.2.1-1
    • 6.3.0-1
    • 8.3.0-1
    • 8.4.0-1
    • 8.4.1-1
    • 8.4.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-path-to-regexp Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.3.0-1

    Обновитесь до 6.3.0-1

  • node-path-to-regexp Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.3.0-1

    Обновитесь до 6.3.0-1

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: < 0.1.13

    Обновитесь до 0.1.13

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 0.2.0, < 1.9.0

    Обновитесь до 1.9.0

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: < 0.1.10

    Обновитесь до 0.1.10

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 7.0.0, < 8.0.0

    Обновитесь до 8.0.0

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.0.0, < 3.3.0

    Обновитесь до 3.3.0

  • path-to-regexp npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 4.0.0, < 6.3.0

    Обновитесь до 6.3.0

  • node-path-to-regexp Ubuntu:Pro:16.04:LTS

    Версии
    • 1.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.0.1-1ubuntu0.16.04.1~esm1

    Обновитесь до 1.0.1-1ubuntu0.16.04.1~esm1

  • node-path-to-regexp Ubuntu:Pro:18.04:LTS

    Версии
    • 1.0.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.0.1-1ubuntu0.18.04.1~esm1

    Обновитесь до 1.0.1-1ubuntu0.18.04.1~esm1

  • node-path-to-regexp Ubuntu:Pro:20.04:LTS

    Версии
    • 3.0.0-2
    • 3.1.0-1
    • 6.1.0-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.1.0-2ubuntu0.1~esm1

    Обновитесь до 6.1.0-2ubuntu0.1~esm1

  • node-path-to-regexp Ubuntu:Pro:22.04:LTS

    Версии
    • 6.2.0-1
    • 6.2.0-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.2.0-2ubuntu0.1~esm1

    Обновитесь до 6.2.0-2ubuntu0.1~esm1

  • node-path-to-regexp Ubuntu:Pro:24.04:LTS

    Версии
    • 6.2.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 6.2.1-1ubuntu0.1~esm1

    Обновитесь до 6.2.1-1ubuntu0.1~esm1

  • node-express Ubuntu:25.10

    Версии
    • 4.21.0+~cs8.36.26-2
    • 4.21.2+~cs8.36.27-1
    • 4.21.2+~cs8.36.27-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-express Ubuntu:26.10

    Версии
    • 5.1.0+~cs12.3.3-1build1
    • 5.2.1+~cs12.3.9-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-express Ubuntu:26.04:LTS

    Версии
    • 4.21.2+~cs8.36.27-2
    • 4.21.2+~cs8.36.27-3
    • 5.1.0+~cs12.3.3-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →