CVE-2023-43646

सारांश

get-func-name एक मॉड्यूल है जो NodeJS और ब्राउज़र दोनों में किसी फ़ंक्शन का नाम सुरक्षित और सुसंगत रूप से प्राप्त करता है। 2.0.1 से पहले के संस्करण एक रेगुलर एक्सप्रेशन डिनायल-ऑफ़-सर्विस (redos) भेद्यता के अधीन हैं, जो दुर्भावनापूर्ण इनपुट पार्स करते समय सेवा से वंचित करने का कारण बन सकती है। इस भेद्यता का फायदा तब उठाया जा सकता है जब कोष्ठकों में असंतुलन होता है, जिसके परिणामस्वरूप अत्यधिक बैकट्रैकिंग होती है और इससे CPU लोड और प्रोसेसिंग समय में उल्लेखनीय वृद्धि होती है। इस भेद्यता को निम्नलिखित इनपुट का उपयोग करके ट्रिगर किया जा सकता है: '\t'.repeat(54773) + '\t/function/i'. यह मुद्दा कमिट `f934b228b` में हल कर दिया गया है, जो 2.0.1 और उसके बाद के रिलीज़ में शामिल किया गया है। उपयोगकर्ताओं को सलाह दी जाती है कि वे अपग्रेड करें। इस भेद्यता के लिए कोई ज्ञात वर्कअराउंड नहीं है।

• CVE-2023-43646PoC

  redos