p PatchFirst

CVE-2024-29041

CVE-2024-29041 · Express.js Open Redirect in malformed URLs

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Express.js minimalist web framework for node. Versions of Express.js prior to 4.19.0 and all pre-release alpha and beta versions of 5.0 are affected by an open redirect vulnerability using malformed URLs. When a user of Express performs a redirect using a user-provided URL Express performs an encode [using `encodeurl`](https://github.com/pillarjs/encodeurl) on the contents before passing it to the `location` header. This can cause malformed URLs to be evaluated in unexpected ways by common redirect allow list implementations in Express applications, leading to an Open Redirect via bypass of a properly implemented allow list. The main method impacted is `res.location()` but this is also called from within `res.redirect()`. The vulnerability is fixed in 4.19.2 and 5.0.0-beta.3.

CVSS 6.1 · Moyenne · EPSS 0,8% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • express

    Versions du logiciel
    • >=4.14.0, <4.19.0: Concernée
    • >=5.0.0-alpha.1, <5.0.0-beta.3: Concernée

    Aucun correctif publié

  • node-express Debian:12

    Versions du logiciel
    • 4.18.2+~4.17.14-1
    • 4.18.2+~cs8.34.50-1
    • 4.19.2+~cs8.36.21-1
    • 4.19.2+~cs8.36.26-1
    • 4.21.0+~cs8.36.26-1
    • 4.21.0+~cs8.36.26-2
    • 4.21.2+~cs8.36.27-1
    • 4.21.2+~cs8.36.27-2
    • 4.21.2+~cs8.36.27-3
    • 5.1.0+~cs12.3.3-1
    • 5.2.1+~cs12.3.9-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-express Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 4.19.2+~cs8.36.21-1

    Mettez à jour vers 4.19.2+~cs8.36.21-1

  • node-express Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 4.19.2+~cs8.36.21-1

    Mettez à jour vers 4.19.2+~cs8.36.21-1

  • express npm

    Plages de versions concernées
    • SEMVER: < 4.19.2

    Mettez à jour vers 4.19.2

  • express npm

    Plages de versions concernées
    • SEMVER: ≥ 5.0.0-alpha.1, < 5.0.0-beta.3

    Mettez à jour vers 5.0.0-beta.3

  • node-express Ubuntu:Pro:16.04:LTS

    Versions du logiciel
    • 4.1.1~dfsg-1
    Plages de versions concernées
    • ECOSYSTEM: < 4.1.1~dfsg-1ubuntu0.16.04.1~esm1

    Mettez à jour vers 4.1.1~dfsg-1ubuntu0.16.04.1~esm1

  • node-express Ubuntu:Pro:18.04:LTS

    Versions du logiciel
    • 4.1.1~dfsg-1
    Plages de versions concernées
    • ECOSYSTEM: < 4.1.1~dfsg-1ubuntu0.18.04.1~esm1

    Mettez à jour vers 4.1.1~dfsg-1ubuntu0.18.04.1~esm1

  • node-express Ubuntu:Pro:20.04:LTS

    Versions du logiciel
    • 4.17.1-1
    • 4.17.1-2
    Plages de versions concernées
    • ECOSYSTEM: < 4.17.1-2ubuntu0.1~esm1

    Mettez à jour vers 4.17.1-2ubuntu0.1~esm1

  • node-express Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 4.17.1-3
    • 4.17.1+~cs4.17.13-1
    • 4.17.2+~4.17.13-1
    • 4.17.3+~4.17.13-1
    Plages de versions concernées
    • ECOSYSTEM: < 4.17.3+~4.17.13-1ubuntu0.1~esm1

    Mettez à jour vers 4.17.3+~4.17.13-1ubuntu0.1~esm1

Sources originales

Vérifiez votre serveur →