p PatchFirst

CVE-2025-23165

CVE-2025-23165

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

In Node.js, the `ReadFileUtf8` internal binding leaks memory due to a corrupted pointer in `uv_fs_s.file`: a UTF-16 path buffer is allocated but subsequently overwritten when the file descriptor is set. This results in an unrecoverable memory leak on every call. Repeated use can cause unbounded memory growth, leading to a denial of service. Impact: * This vulnerability affects APIs relying on `ReadFileUtf8` on Node.js release lines: v20 and v22.

CVSS 3.7 · Низкий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • node.js

    Версии
    • ≥ 4.0, < 4.*: Затронуто (semver)
    • ≥ 5.0, < 5.*: Затронуто (semver)
    • ≥ 6.0, < 6.*: Затронуто (semver)
    • ≥ 7.0, < 7.*: Затронуто (semver)
    • ≥ 8.0, < 8.*: Затронуто (semver)
    • ≥ 9.0, < 9.*: Затронуто (semver)
    • ≥ 10.0, < 10.*: Затронуто (semver)
    • ≥ 11.0, < 11.*: Затронуто (semver)
    • ≥ 12.0, < 12.*: Затронуто (semver)
    • ≥ 13.0, < 13.*: Затронуто (semver)
    • ≥ 14.0, < 14.*: Затронуто (semver)
    • ≥ 15.0, < 15.*: Затронуто (semver)
    • ≥ 16.0, < 16.*: Затронуто (semver)
    • ≥ 17.0, < 17.*: Затронуто (semver)
    • ≥ 18.0, < 18.*: Затронуто (semver)
    • ≥ 19.0, < 19.*: Затронуто (semver)
    • ≥ 20.0, ≤ 20.19.1: Затронуто (semver)
    • ≥ 22.0, ≤ 22.15.0: Затронуто (semver)
    • ≥ 21.0, < 21.*: Затронуто (semver)

    Нет опубликованного исправления

  • nodejs Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 20.19.2+dfsg-1

    Обновитесь до 20.19.2+dfsg-1

  • nodejs Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 20.19.2+dfsg-1

    Обновитесь до 20.19.2+dfsg-1

Первоисточники

Проверьте свой сервер →