p PatchFirst

CVE-2023-24807

CVE-2023-24807 · Undici vulnerable to Regular Expression Denial of Service in Headers

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Undici is an HTTP/1.1 client for Node.js. Prior to version 5.19.1, the `Headers.set()` and `Headers.append()` methods are vulnerable to Regular Expression Denial of Service (ReDoS) attacks when untrusted values are passed into the functions. This is due to the inefficient regular expression used to normalize the values in the `headerValueNormalize()` utility function. This vulnerability was patched in v5.19.1. No known workarounds are available.

CVSS 7.5 · Élevée · EPSS 1,3% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • undici

    Versions du logiciel
    • < 5.19.1: Concernée

    Aucun correctif publié

  • node-undici Debian:12

    Versions du logiciel
    • 5.15.0+dfsg1+~cs20.10.9.3-1
    Plages de versions concernées
    • ECOSYSTEM: < 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1

    Mettez à jour vers 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1

  • node-undici Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 5.19.1+dfsg1+~cs20.10.9.5-1

    Mettez à jour vers 5.19.1+dfsg1+~cs20.10.9.5-1

  • node-undici Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 5.19.1+dfsg1+~cs20.10.9.5-1

    Mettez à jour vers 5.19.1+dfsg1+~cs20.10.9.5-1

  • undici npm

    Plages de versions concernées
    • SEMVER: < 5.19.1

    Mettez à jour vers 5.19.1

Sources originales

Vérifiez votre serveur →