CVE-2024-10491
CVE-2024-10491 · Preload arbitrary resources by injecting additional `Link` headers
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
A vulnerability has been identified in the Express response.links function, allowing for arbitrary resource injection in the Link header when unsanitized data is used. The issue arises from improper sanitization in `Link` header values, which can allow a combination of characters like `,`, `;`, and `<>` to preload malicious resources. This vulnerability is especially relevant for dynamic parameters.
CVSS 4.0 · Media · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · node
Productos y versiones afectados
express
- Versiones
- ≥ 3.0.0-alpha1, ≤ 3.21.2: Afectada (semver)
Sin corrección publicada
node-express Debian:12
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.1.1~dfsg-1
Actualiza a 4.1.1~dfsg-1
node-express Debian:13
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.1.1~dfsg-1
Actualiza a 4.1.1~dfsg-1
node-express Debian:14
- Intervalos de versiones afectados
- ECOSYSTEM: < 4.1.1~dfsg-1
Actualiza a 4.1.1~dfsg-1
express npm
- Intervalos de versiones afectados
- SEMVER: < 4.0.0-rc1
Actualiza a 4.0.0-rc1