CVE-2024-10491
CVE-2024-10491 · Preload arbitrary resources by injecting additional `Link` headers
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
A vulnerability has been identified in the Express response.links function, allowing for arbitrary resource injection in the Link header when unsanitized data is used. The issue arises from improper sanitization in `Link` header values, which can allow a combination of characters like `,`, `;`, and `<>` to preload malicious resources. This vulnerability is especially relevant for dynamic parameters.
CVSS 4.0 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
express
- Versions du logiciel
- ≥ 3.0.0-alpha1, ≤ 3.21.2: Concernée (semver)
Aucun correctif publié
node-express Debian:12
- Plages de versions concernées
- ECOSYSTEM: < 4.1.1~dfsg-1
Mettez à jour vers 4.1.1~dfsg-1
node-express Debian:13
- Plages de versions concernées
- ECOSYSTEM: < 4.1.1~dfsg-1
Mettez à jour vers 4.1.1~dfsg-1
node-express Debian:14
- Plages de versions concernées
- ECOSYSTEM: < 4.1.1~dfsg-1
Mettez à jour vers 4.1.1~dfsg-1
express npm
- Plages de versions concernées
- SEMVER: < 4.0.0-rc1
Mettez à jour vers 4.0.0-rc1