p PatchFirst

CVE-2025-69873

CVE-2025-69873

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Cette page présente une partie des faits des sources. Consultez les avis liés pour la description complète et les versions concernées.

ajv (Another JSON Schema Validator) before 8.18.0 is vulnerable to Regular Expression Denial of Service (ReDoS) when the $data option is enabled. The pattern keyword accepts runtime data via JSON Pointer syntax ($data reference), which is passed directly to the JavaScript RegExp() constructor without validation. An attacker can inject a malicious regex pattern (e.g., "^(a|a)*$") combined with crafted input to cause catastrophic backtracking. A 31-character payload causes approximately 44 seconds of CPU blocking, with each additional character doubling execution time. This enables complete denial of service with a single HTTP request against any API using ajv with $data: true for dynamic schema validation. This issue is also fixed in version 6.14.0.

CVSS 2.9 · Faible · EPSS 0,5% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • ajv

    Versions du logiciel
    • ≥ 0, < 6.14.0: Concernée (semver)
    • ≥ 7.0.0, < 8.17.2: Concernée (semver)

    Mettez à jour vers 6.14.0; Mettez à jour vers 8.17.2

  • node-ajv Debian:12

    Versions du logiciel
    • 6.12.6-3
    • 8.11.2~ds+~2.1.1-1
    • 8.12.0~ds+~2.1.1-1
    • 8.12.0~ds+~2.1.1-2
    • 8.12.0~ds+~2.1.1-3
    • 8.12.0~ds+~2.1.1-4
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-1
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-3
    • 8.17.1~ds+~3.0.1+~3.1.0-4
    • 8.18.0~ds+~cs6.1.1-1
    • 8.18.0~ds+~cs6.1.1-2
    • 8.20.0~ds+~cs6.1.3-1
    • 8.20.0~ds+~cs7.1.2-1
    • 8.20.0~ds+~cs7.1.3-1
    • 8.20.0~ds+~cs7.1.3-2
    • 8.20.0~ds+~cs7.1.3-3
    • 8.20.0~ds+~cs7.1.4-1
    • 8.20.0~ds+~cs7.1.5-1
    • 8.8.2~ds+~2.1.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Debian:13

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-1
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-3
    • 8.17.1~ds+~3.0.1+~3.1.0-4
    • 8.18.0~ds+~cs6.1.1-1
    • 8.18.0~ds+~cs6.1.1-2
    • 8.20.0~ds+~cs6.1.3-1
    • 8.20.0~ds+~cs7.1.2-1
    • 8.20.0~ds+~cs7.1.3-1
    • 8.20.0~ds+~cs7.1.3-2
    • 8.20.0~ds+~cs7.1.3-3
    • 8.20.0~ds+~cs7.1.4-1
    • 8.20.0~ds+~cs7.1.5-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Debian:14

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-1
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-3
    • 8.17.1~ds+~3.0.1+~3.1.0-4
    Plages de versions concernées
    • ECOSYSTEM: < 8.18.0~ds+~cs6.1.1-1

    Mettez à jour vers 8.18.0~ds+~cs6.1.1-1

  • ajv npm

    Plages de versions concernées
    • SEMVER: ≥ 7.0.0-alpha.0, < 8.18.0

    Mettez à jour vers 8.18.0

  • ajv npm

    Plages de versions concernées
    • SEMVER: < 6.14.0

    Mettez à jour vers 6.14.0

  • node-ajv Ubuntu:18.04:LTS

    Versions du logiciel
    • 5.0.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:20.04:LTS

    Versions du logiciel
    • 6.10.2-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:22.04:LTS

    Versions du logiciel
    • 6.12.6-2
    • 6.12.6-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:24.04:LTS

    Versions du logiciel
    • 6.12.6-3
    • 8.12.0~ds+~2.1.1-4
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:25.10

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:26.10

    Versions du logiciel
    • 8.17.1~ds+~3.0.1+~3.1.0-4build1
    • 8.20.0~ds+~cs6.1.3-1
    • 8.20.0~ds+~cs7.1.2-1
    • 8.20.0~ds+~cs7.1.3-1
    • 8.20.0~ds+~cs7.1.3-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ajv Ubuntu:26.04:LTS

    Versions du logiciel
    • 8.12.0~ds+~2.1.1-5
    • 8.17.1~ds+~3.0.1+~3.1.0-2
    • 8.17.1~ds+~3.0.1+~3.1.0-4build1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →