p PatchFirst

CVE-2025-54387

CVE-2025-54387 · IPX is Vulnerable to Path Traversal via Prefix Matching Bypass

CVSS 6.9 · Средний · EPSS 0,8% · Есть исправление

Затронуты ли вы?

  • ipxНет опубликованного исправления
  • ipx npmОбновитесь до 1.3.2

Как узнать установленную версию:

npm ls ipx

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания ipx и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

IPX is an image optimizer powered by sharp and svgo. In versions 1.3.1 and below, 2.0.0-0 through 2.1.0, and 3.0.0 through 3.1.0, the approach used to check whether a path is within allowed directories is vulnerable to path prefix bypass when the allowed directories do not end with a path separator. This occurs because the check relies on a raw string prefix comparison. This is fixed in versions 1.3.2, 2.1.1 and 3.1.1.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • ipx

    Версии
    • < 1.3.2: Затронуто
    • >= 2.0.0-0, < 2.1.1: Затронуто
    • >= 3.0.0, < 3.1.1: Затронуто

    Нет опубликованного исправления

  • ipx npm

    Затронутые диапазоны версий
    • SEMVER: < 1.3.2

    Обновитесь до 1.3.2

  • ipx npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.0.0-0, < 2.1.1

    Обновитесь до 2.1.1

  • ipx npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 3.0.0, < 3.1.1

    Обновитесь до 3.1.1

Первоисточники

Проверьте свой сервер →