p PatchFirst

CVE-2025-23167

CVE-2025-23167

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

A flaw in Node.js 20's HTTP parser allows improper termination of HTTP/1 headers using `\r\n\rX` instead of the required `\r\n\r\n`. This inconsistency enables request smuggling, allowing attackers to bypass proxy-based access controls and submit unauthorized requests. The issue was resolved by upgrading `llhttp` to version 9, which enforces correct header termination. Impact: * This vulnerability affects only Node.js 20.x users prior to the `llhttp` v9 upgrade.

CVSS 6.5 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • node.js

    Версии
    • ≥ 4.0, < 4.*: Затронуто (semver)
    • ≥ 5.0, < 5.*: Затронуто (semver)
    • ≥ 6.0, < 6.*: Затронуто (semver)
    • ≥ 7.0, < 7.*: Затронуто (semver)
    • ≥ 8.0, < 8.*: Затронуто (semver)
    • ≥ 9.0, < 9.*: Затронуто (semver)
    • ≥ 10.0, < 10.*: Затронуто (semver)
    • ≥ 11.0, < 11.*: Затронуто (semver)
    • ≥ 12.0, < 12.*: Затронуто (semver)
    • ≥ 13.0, < 13.*: Затронуто (semver)
    • ≥ 14.0, < 14.*: Затронуто (semver)
    • ≥ 15.0, < 15.*: Затронуто (semver)
    • ≥ 16.0, < 16.*: Затронуто (semver)
    • ≥ 17.0, < 17.*: Затронуто (semver)
    • ≥ 18.0, < 18.*: Затронуто (semver)
    • ≥ 19.0, < 19.*: Затронуто (semver)
    • ≥ 20.0, ≤ 20.19.1: Затронуто (semver)

    Нет опубликованного исправления

  • node-undici Debian:12

    Версии
    • 5.15.0+dfsg1+~cs20.10.9.3-1
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u2
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u3
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u4
    • 5.19.1+dfsg1+~cs20.10.9.5-1
    • 5.19.1+dfsg1+~cs20.10.9.5-2
    • 5.22.1+dfsg1+~cs20.10.10.2-1
    • 5.26.3+dfsg1+~cs23.10.12-1
    • 5.26.3+dfsg1+~cs23.10.12-2
    • 5.26.3+dfsg1+~cs23.10.12-3
    • 5.28.0+dfsg1+~cs23.11.12.3-1
    • 5.28.0+dfsg1+~cs23.11.12.3-2
    • 5.28.2+dfsg1+~cs23.11.12.3-1
    • 5.28.2+dfsg1+~cs23.11.12.3-2
    • 5.28.2+dfsg1+~cs23.11.12.3-3
    • 5.28.2+dfsg1+~cs23.11.12.3-4
    • 5.28.2+dfsg1+~cs23.11.12.3-5
    • 5.28.2+dfsg1+~cs23.11.12.3-6
    • 5.28.4+dfsg1+~cs23.12.11-1
    • 5.28.4+dfsg1+~cs23.12.11-2
    • 7.1.0+dfsg1+~cs24.12.10-1
    • 7.15.0+dfsg+~cs3.2.0-1
    • 7.15.0+dfsg+~cs3.2.0-3
    • 7.16.0+dfsg+~cs3.2.0-1
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.2.3+dfsg1+~cs24.12.11-1
    • 7.2.3+dfsg1+~cs24.12.11-2
    • 7.24.5+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-2
    • 7.24.6+dfsg+~cs3.2.0-3
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 8.5.0+dfsg+~cs3.2.0-1
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Debian:13

    Версии
    • 7.15.0+dfsg+~cs3.2.0-1
    • 7.15.0+dfsg+~cs3.2.0-3
    • 7.16.0+dfsg+~cs3.2.0-1
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.24.5+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-2
    • 7.24.6+dfsg+~cs3.2.0-3
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 8.5.0+dfsg+~cs3.2.0-1
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Debian:14

    Версии
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.15.0+dfsg+~cs3.2.0-1

    Обновитесь до 7.15.0+dfsg+~cs3.2.0-1

Первоисточники

Проверьте свой сервер →