CVE-2025-25200
CVE-2025-25200 · Koa has Inefficient Regular Expression Complexity
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Koa is expressive middleware for Node.js using ES2017 async functions. Prior to versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3, Koa uses an evil regex to parse the `X-Forwarded-Proto` and `X-Forwarded-Host` HTTP headers. This can be exploited to carry out a Denial-of-Service attack. Versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3 fix the issue.
CVSS 9.2 · Kritisch · EPSS 0,8% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
koa
- Softwareversionen
- < 0.21.2: Betroffen
- >= 1.0.0, < 1.7.1: Betroffen
- >= 2.0.0-alpha.1, < 2.15.4: Betroffen
- >= 3.0.0-alpha.0, < < 3.0.0-alpha.3: Betroffen
Keine Korrektur veröffentlicht
koa npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 2.0.0, < 2.15.4
Auf 2.15.4 aktualisieren
koa npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 3.0.0-alpha.0, < 3.0.0-alpha.3
Auf 3.0.0-alpha.3 aktualisieren
koa npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 1.0.0, < 1.7.1
Auf 1.7.1 aktualisieren
koa npm
- Betroffene Versionsbereiche
- SEMVER: < 0.21.2
Auf 0.21.2 aktualisieren
Originalquellen
- https://github.com/koajs/koa/security/advisories/GHSA-593f-38f6-jp5m
- https://github.com/koajs/koa/commit/5054af6e31ffd451a4151a1fe144cef6e5d0d83c
- https://github.com/koajs/koa/commit/5f294bb1c7c8d9c61904378d250439a321bffd32
- https://github.com/koajs/koa/commit/93fe903fc966635a991bcf890cfc3427d33a1a08
- https://github.com/koajs/koa/blob/master/lib/request.js#L259
- https://github.com/koajs/koa/blob/master/lib/request.js#L404
- https://github.com/koajs/koa/releases/tag/2.15.4
- https://nvd.nist.gov/vuln/detail/CVE-2025-25200