CVE-2025-25200
CVE-2025-25200 · Koa has Inefficient Regular Expression Complexity
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Koa is expressive middleware for Node.js using ES2017 async functions. Prior to versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3, Koa uses an evil regex to parse the `X-Forwarded-Proto` and `X-Forwarded-Host` HTTP headers. This can be exploited to carry out a Denial-of-Service attack. Versions 0.21.2, 1.7.1, 2.15.4, and 3.0.0-alpha.3 fix the issue.
CVSS 9.2 · Crítica · EPSS 0,8% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
koa
- Versiones
- < 0.21.2: Afectada
- >= 1.0.0, < 1.7.1: Afectada
- >= 2.0.0-alpha.1, < 2.15.4: Afectada
- >= 3.0.0-alpha.0, < < 3.0.0-alpha.3: Afectada
Sin corrección publicada
koa npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.0.0, < 2.15.4
Actualiza a 2.15.4
koa npm
- Intervalos de versiones afectados
- SEMVER: ≥ 3.0.0-alpha.0, < 3.0.0-alpha.3
Actualiza a 3.0.0-alpha.3
koa npm
- Intervalos de versiones afectados
- SEMVER: ≥ 1.0.0, < 1.7.1
Actualiza a 1.7.1
koa npm
- Intervalos de versiones afectados
- SEMVER: < 0.21.2
Actualiza a 0.21.2
Fuentes originales
- https://github.com/koajs/koa/security/advisories/GHSA-593f-38f6-jp5m
- https://github.com/koajs/koa/commit/5054af6e31ffd451a4151a1fe144cef6e5d0d83c
- https://github.com/koajs/koa/commit/5f294bb1c7c8d9c61904378d250439a321bffd32
- https://github.com/koajs/koa/commit/93fe903fc966635a991bcf890cfc3427d33a1a08
- https://github.com/koajs/koa/blob/master/lib/request.js#L259
- https://github.com/koajs/koa/blob/master/lib/request.js#L404
- https://github.com/koajs/koa/releases/tag/2.15.4
- https://nvd.nist.gov/vuln/detail/CVE-2025-25200